Таблица 3.6.1. Предопределенные роли

Роли pg_monitor, pg_read_all_settings, pg_read_all_stats и pg_stat_scan_tables предназначены для того, чтобы администраторы могли легко настроить роль для целей мониторинга сервера базы данных. Они предоставляют набор общих привилегий, позволяющих роли читать различные полезные настройки конфигурации, статистику и другую системную информацию, обычно доступную только суперпользователям.

Роль pg_database_owner имеет одного неявного, зависящего от ситуации члена, а именно владельца текущей базы данных. Как и любая роль, она может владеть объектами или получать привилегии доступа. Следовательно, как только pg_database_owner получает права внутри шаблонной базы данных, каждый владелец базы данных, созданной из этого шаблона, будет обладать этими правами. pg_database_owner не может быть членом какой-либо роли и не может иметь неявных членов. Изначально эта роль владеет схемой public, поэтому каждый владелец базы данных управляет локальным использованием этой схемы.

Роль pg_signal_backend предназначена для того, чтобы позволить администраторам наделять доверенные, но не являющиеся суперпользователями роли правом посылать сигналы другим бэкендам. В настоящее время эта роль позволяет посылать сигналы для отмены запроса в другом бэкенде или завершения его сессии. Однако пользователь, которому предоставлена эта роль, не может посылать сигналы бэкенду, владельцем которого является суперпользователь. См. Раздел 2.6.28.2.

Роли pg_read_server_files, pg_write_server_files и pg_execute_server_program предназначены для того, чтобы администраторы могли иметь доверенные, но не являющиеся суперпользователями роли, способные получать доступ к файлам и запускать программы на сервере базы данных от имени пользователя, под которым работает база данных. Так как эти роли могут обращаться к любому файлу в файловой системе сервера, они обходят все проверки разрешений на уровне базы данных при прямом обращении к файлам и могут быть использованы для получения доступа уровня суперпользователя, поэтому при предоставлении этих ролей пользователям следует проявлять большую осторожность.

При предоставлении этих ролей следует соблюдать осторожность, чтобы гарантировать их использование только там, где это необходимо, и с пониманием того, что эти роли дают доступ к привилегированной информации.

Администраторы могут предоставлять доступ к этим ролям пользователям с помощью команды GRANT, например:

GRANT pg_signal_backend TO admin_user;