Role management =============== ユーザーは、PostgreSQLインスタンスのグローバルオブジェクトです。 ``CREATE ROLE`` コマンドまたはそのエイリアス ``CREATE USER`` は、 PGDレプリケートデータベースで実行される場合、自動的にレプリケートされます。ロールまたはユーザーが非PGD、非レプリケートデータベースで作成された場合、ロールはそのPostgreSQLインスタンスにのみ存在します。 ``GRANT ROLE`` および\ ``DROP ROLE`` は同じように動作し、 PGDレプリケートデータベースに適用される場合にのみレプリケートします。 .. Note:: Postgres用語でのユーザーは、単にログイン権限を持つロールであることに注意してください。 !!! ロールルール - 未複製のロールはありません ----------------------------------------- 非PGDの非レプリケートデータベースにロールまたはユーザーを作成する場合、 PGDレプリケートデータベースのオブジェクトをそのロールに依存させないことが特に重要です。 PGDは、PGDレプリケートデータベースにないロールをレプリケートできないため、レプリケーションプロセスが中断します。 `bdr.role_replication `_ 設定をオフにすることにより、この自動レプリケーション動作を無効にできますが、それはお勧めしません。 新しいノードのロール -------------------- `bdr_init_physical `_ を使用して追加された新しいPGDノードは、PGDクラスターの他のノードからロールを自動的にレプリケートします。 ``bdr_init_physical`` を使用せずにPGDノードがPGDグループに手動で参加している場合、既存のロールは新しく参加したノードにコピーされません。これは、アクセスが誤って付与されないようにするための意図的な動作です。 デフォルトでは、ロールはすべてのデータベースにアクセスします。したがって、新しく作成されたノードにユーザーを自動的にコピーすると、ノードに存在するデータベースが意図せずに公開される可能性があります。 PGDクラスターにユーザーAliceがあり、Aliceが新しく参加したノードで自動的に作成された場合、そのノードに直接接続することにより、Aliceはそのノード上のすべてのデータベースにアクセスできます。したがって、PGDは既存のロールをコピーしません。この状況では、ロールを手動でコピーすることをお勧めします。 PostgreSQLでは、次のコマンドですべてのロールをダンプできます。 :: pg_dumpall --roles-only > roles.sql 次に、新しく作成したノードでファイルのコマンドを実行する前に、ファイル ``roles.sql`` を編集して不要なユーザーを削除できます。 新しいノードに参加する場合、「非複製ロールなし」ルールも適用されます。レプリケートされるデータベース内のオブジェクトが、レプリケートされていないローカルデータベースの非レプリケートロールに依存している場合、そのオブジェクトをレプリケートしようとすると、結合は失敗します。 接続とロール ------------ 新しいPGDノードを割り当てるときに、 :ref:`bdr.create_node ` の\ ``local_dsn`` 引数と :ref:`bdr.join_node_group ` の\ ``join_target_dsn`` のDSNで指定されたユーザー データベースオブジェクトを参照、作成、および管理するために頻繁に使用されます。 PGDは、これらのDSNで\ ``SUPERUSER`` 権限を持つロールを使用する場合でも、特権エスカレーション攻撃を防ぐように注意深く書き込まれています。 攻撃対象領域をさらに削減するために、これらのDSNでより制限されたユーザーを指定できます。少なくとも、このようなユーザーには、次の条件が満たされるように、すべてのノードで権限を付与する必要があります。 - ユーザは\ ``REPLICATION`` 属性を持っています。 - データベースに対する\ ``CREATE`` 権限が付与されています。 - bdr_superuserロールを継承します。 - 複製するすべてのデータベースオブジェクトを直接、または所有者ロールの権限から所有します。 すべてのノードが参加したら、DMLおよびDDLレプリケーションを引き続き許可するには、権限をさらに次まで減らすことができます。 - ユーザは\ ``REPLICATION`` 属性を持っています。 - bdr_superuserロールを継承します。