Informazioni sulla gestione degli utenti del database in AlloyDB per PostgreSQL

Questa pagina fornisce una panoramica su come gestire gli utenti del database in AlloyDB per PostgreSQL e attivare l'autenticazione Identity and Access Management (IAM) per questi utenti.

Come funziona la gestione degli utenti del database

AlloyDB condivide gli stessi concetti di ruoli, utenti e gruppi di PostgreSQL. Per una breve spiegazione, consulta le seguenti descrizioni:

  • Ruolo: designazione di primo livello che descrive sia gli utenti del database sia i gruppi di utenti del database in un cluster. I ruoli forniscono e limitano l'accesso agli oggetti del database, come tabelle e funzioni.

  • Utente: ruolo a cui viene assegnato l'attributo LOGIN. Gli utenti possono autenticarsi e accedere ai cluster di database AlloyDB.

  • Gruppo: ruolo concesso a uno o più utenti. Lo scopo dei gruppi è controllare i privilegi di molti utenti nel loro complesso.

Come funziona l'autenticazione del database

Per autenticarti e accedere ai tuoi cluster di database AlloyDB, hai due opzioni:

  • Autenticazione basata su password PostgreSQL standard: verifica l'identità dell'utente confrontando le credenziali fornite con le password sottoposte ad hashing memorizzate. I metodi supportati includono md5, scram-sha-256 e password.
  • Autenticazione IAM: consente agli utenti del database di autenticarsi utilizzando IAM per una maggiore sicurezza e un controllo dell'accesso centralizzato in altri serviziGoogle Cloud .

Ruoli predefiniti

PostgreSQL fornisce ruoli predefiniti con vari privilegi. Oltre a questi ruoli predefiniti, AlloyDB fornisce molti altri ruoli utente e di gruppo predefiniti.

Le tabelle seguenti elencano i ruoli e i relativi privilegi forniti da AlloyDB.

Nome ruolo Privilegi
alloydbsuperuser CREATEROLE, CREATEDB e LOGIN.
postgres CREATEROLE, CREATEDB e LOGIN.
alloydbimportexport CREATEROLE e CREATEDB.
alloydbagent CREATEROLE e CREATEDB.
alloydbreplica REPLICATION
alloydbiamuser Per impostazione predefinita, questo ruolo non dispone di privilegi.

Le sottosezioni seguenti spiegano lo scopo di alcuni di questi ruoli.

Ruolo del gruppo alloydbsuperuser

alloydbsuperuser ti consente di configurare il sistema di database ed eseguire altre attività di superutente. Questo ruolo ha i seguenti privilegi:

  • Creare estensioni che richiedono privilegi di superutente
  • Creare trigger evento
  • Creare utenti di replica
  • Creare pubblicazioni e sottoscrizioni di replica

In quanto servizio gestito, AlloyDB non ti consente di concedere agli utenti il ruolo PostgreSQL superuser. In alternativa, puoi concedere a qualsiasi utente del database i privilegi di superutente AlloyDB concedendogli il ruolo alloydbsuperuser.

Ruolo utente postgres

Il ruolo utente postgres fa parte di alloydbsuperuser. Quando crei un cluster AlloyDB, assegni una password a postgres. Poi, accedi al sistema utilizzando postgres per eseguire attività come la creazione di database o ruoli aggiuntivi.

Ruolo utente alloydbimportexport

Quando crei un cluster AlloyDB, AlloyDB crea alloydbimportexport con l'insieme minimo di privilegi necessari per le operazioni di importazione ed esportazione.

Hai la possibilità di creare i tuoi utenti per eseguire queste operazioni. Se non crei un utente alloydbimportexport personalizzato, il sistema utilizzerà l'utente alloydbimportexport predefinito per le operazioni di importazione ed esportazione.

alloydbimportexport è un utente di sistema. Ciò significa che non puoi utilizzare direttamente l'utente alloydbimportexport per accedere o eseguire altre operazioni nei tuoi database PostgreSQL.

Ruolo del gruppo alloydbiamuser

Gli utenti del database all'interno del gruppo alloydbiamuser si autenticano con un'istanza AlloyDB utilizzando IAM, anziché l'autenticazione basata su password PostgreSQL standard.

AlloyDB non ti consente di concedere alloydbiamuser agli utenti utilizzando il comando PostgreSQL GRANT o metodi simili. Puoi invece utilizzare gli strumenti di amministrazione di AlloyDB per creare e gestire gli utenti del database basati su IAM. Per ulteriori informazioni, consulta Gestire l'autenticazione IAM.

Passaggi successivi