Часто бывает удобно объединять пользователей в группы, чтобы облегчить управление привилегиями: таким образом, привилегии могут быть предоставлены группе в целом или отозваны у нее. В Digital Q.DataBase это делается путем создания роли, представляющей группу, и последующего предоставления членства в групповой роли отдельным ролям пользователей.

Чтобы создать групповую роль, сначала создайте саму роль:

CREATE ROLE имя;

Обычно роль, используемая в качестве группы, не имеет атрибута LOGIN, хотя вы можете установить его, если пожелаете.

Как только групповая роль создана, вы можете добавлять и удалять членов с помощью команд GRANT и REVOKE:

GRANT групповая_роль TO роль1, ... ;
REVOKE групповая_роль FROM роль1, ... ;

Вы также можете предоставлять членство другим групповым ролям (поскольку на самом деле нет никакого различия между групповыми и негрупповыми ролями). База данных не позволит вам создавать циклические цепочки членства. Также не разрешается предоставлять членство в роли роли PUBLIC.

Члены групповой роли могут использовать привилегии этой роли двумя способами. Во-первых, роли-члены, которым было предоставлено членство с опцией SET, могут выполнить команду SET ROLE, чтобы временно «стать» групповой ролью. В этом состоянии сессия базы данных имеет доступ к привилегиям групповой роли, а не исходной роли входа, и любые созданные объекты базы данных считаются принадлежащими групповой роли, а не роли входа. Во-вторых, роли-члены, которым членство было предоставлено с опцией INHERIT, автоматически получают доступ к привилегиям тех ролей, членами которых они являются (напрямую или косвенно), хотя цепочка останавливается на членстве, в котором отсутствует опция наследования. В качестве примера предположим, что мы выполнили:

CREATE ROLE joe LOGIN;
CREATE ROLE admin;
CREATE ROLE wheel;
CREATE ROLE island;
GRANT admin TO joe WITH INHERIT TRUE;
GRANT wheel TO admin WITH INHERIT FALSE;
GRANT island TO joe WITH INHERIT TRUE, SET FALSE;

Сразу после подключения под ролью joe сессия базы данных будет иметь доступ к привилегиям, предоставленным непосредственно joe, плюс любые привилегии, предоставленные admin и island, потому что joe «наследует» эти привилегии. Однако привилегии, предоставленные wheel, недоступны, потому что, хотя joe является косвенным членом wheel, это членство осуществляется через admin, которое было предоставлено с использованием WITH INHERIT FALSE. После:

SET ROLE admin;

сессия будет иметь доступ только к тем привилегиям, которые предоставлены admin, а не к тем, что предоставлены joe или island. После:

SET ROLE wheel;

сессия будет иметь доступ только к тем привилегиям, которые предоставлены wheel, а не к тем, что предоставлены joe или admin. Исходное состояние привилегий может быть восстановлено любой из команд:

SET ROLE joe;
SET ROLE NONE;
RESET ROLE;

DROP ROLE имя;