Jak fungují role a oprávnění v PostgreSQL?

Question

Accepted Answer

PostgreSQL spravuje řízení přístupu prostřednictvím **rolí** (které slouží jako uživatelé i skupiny) a **oprávnění** (povolení udělená na objekty). Tento systém kontroluje, kdo se může připojit a co může dělat — základní prvek bezpečnosti databází.

## Role — uživatelé a skupiny sjednocené

```sql
-- a role can be a USER (can log in) or a GROUP (collection of permissions)
CREATE ROLE app_user WITH LOGIN PASSWORD 'secret';   -- a login role (a "user")
CREATE ROLE readonly;                                 -- a group role (no login)

-- roles can be members of other roles (inherit their privileges)
GRANT readonly TO app_user;          -- app_user inherits readonly's privileges
```

V Postgresu je **role** sjednocený koncept — může se přihlásit (funguje jako uživatel) a/nebo obsahovat další role (funguje jako skupina). Tento flexibilní model zpracovává jak uživatele, tak skupiny oprávnění.

## Oprávnění — udělování povolení na objekty

```sql
-- grant specific privileges on objects
GRANT SELECT ON users TO readonly;                    -- read-only on a table
GRANT SELECT, INSERT, UPDATE, DELETE ON orders TO app_user;  -- full data access
GRANT USAGE ON SCHEMA sales TO app_user;              -- access a schema
GRANT ALL PRIVILEGES ON DATABASE mydb TO admin;

REVOKE INSERT ON orders FROM app_user;                -- take away a privilege
```

Oprávnění (`SELECT`, `INSERT`, `UPDATE`, `DELETE`, `USAGE` atd.) jsou udělována na objekty (tabulky, schémata, databáze) rolím — kontrolují přesně to, co může každá role dělat.

## Princip nejmenšího oprávnění

```sql
-- ✅ grant only the permissions each role actually needs
GRANT SELECT ON reports TO analyst;     -- analyst can only READ reports
-- ❌ don't grant ALL PRIVILEGES or superuser broadly — minimize the blast radius
```

**Nejmenší oprávnění** — udělení každé roli pouze povolení, která potřebuje — je základní bezpečnostní praxe, která omezuje škody způsobené kompromitovanými přihlašovacími údaji nebo chybami.

## Výchozí oprávnění a vlastnictví

```sql
-- the object's OWNER has full control; new objects need explicit grants
ALTER DEFAULT PRIVILEGES IN SCHEMA sales
  GRANT SELECT ON TABLES TO readonly;   -- auto-grant on FUTURE tables
```

## Proč je to důležité

Pochopení rolí a oprávnění v PostgreSQL je důležité pro **bezpečnost databází** — kontrola toho, kdo má přístup do databáze a co může dělat, je zásadní pro ochranu dat, takže je tato znalost cenná pro jakoukoli produkční databázi.

Pochopení konceptu **role** (Postgresův sjednocený model, kde role slouží jako uživatelé — kteří se mohou přihlásit — i skupiny — kolekce oprávnění, která dědí ostatní role) je nezbytné pro správu přístupu, protože takto vytváříte uživatele databází a organizujete oprávnění.

Znalost toho, jak udělit a odvolat **oprávnění** (`SELECT`, `INSERT` atd.) na objekty (tabulky, schémata, databáze) rolím, je zásadní pro kontrolu přesně toho, co jednotlivý uživatel nebo aplikace mohou dělat.

Kriticky důležitý je **princip nejmenšího oprávnění** — udělení každé roli pouze oprávnění, která skutečně potřebuje (např. role analytika určená pouze ke čtení, role aplikace pouze s přístupem, který vyžaduje) místo širokých nebo superuživatelských povolení — což je základní bezpečnostní praxe, která omezuje škody způsobené kompromitovanými přihlašovacími údaji, chybami nebo chybami (skutečná a důležitá obrana).

Pochopení výchozích oprávnění a vlastnictví (vlastník objektu má plnou kontrolu; budoucí objekty mohou vyžadovat explicitní grants) doplňuje praktickou správu přístupu.

Protoče je bezpečnost databází kritická (databáze obsahují citlivá a cenná data) a protože správné řízení přístupu prostřednictvím rolí a grantů nejmenšího oprávnění je to, jak chráníte ta data a omezujete rizika, pochopení rolí a oprávnění PostgreSQL — sjednoceného modelu rolí, udělování/odvolávání oprávnění a zejména principu nejmenšího oprávnění — je důležitá bezpečnostně relevantní znalost pro správu a zabezpečení produkčních databází, časté odpovědnosti a běžné téma pro kohokoli, kdo spravuje přístup do databází.