Ubuntu 中 pgAdmin 权限设置实操指南
一 概念与准备
- 区分两类账户与权限：
- pgAdmin 登录账户：用于登录 pgAdmin Web 界面，由安装脚本（如 /usr/pgadmin4/bin/setup-web.sh）初始化，与数据库权限无直接关系。
- PostgreSQL 角色/用户：真正用于连接和操作数据库的账户与权限体系。
- 建议准备：
- 已安装 PostgreSQL 与 pgAdmin4（桌面或 Web 模式均可）。
- 一个具有管理员权限的数据库账户（如 postgres）用于创建角色与授权。
- 如为远程管理，规划好访问来源 IP、端口与加密方式。
二 在 pgAdmin 中创建角色与用户
- 打开 pgAdmin，左侧展开 Servers，右键选择 Create > Server…，填写连接信息（主机、端口、维护数据库、用户名、密码），保存连接。
- 在左侧导航中进入目标服务器下的 Login/Group Roles（登录/组角色），右键 Create > Login/Group Role…：
- 在 General 页设置名称与密码。
- 在 Definition 页可设置如 Superuser、Create DB、Login 等属性。
- 在 Privileges 页可开关若干全局权限（如创建角色/数据库等）。
- 创建完成后，可在目标数据库或模式/表对象上进一步授予细粒度权限（见下一节）。
三 授予数据库与对象权限
- 数据库级权限（示例）
- 授予某用户对某库的 全部权限：
- 图形界面：在左侧展开目标数据库，右键 Properties > Permissions，为角色勾选相应权限（如 CREATE、CONNECT、TEMPORARY 等），保存。
- SQL 示例：
- GRANT ALL PRIVILEGES ON DATABASE mydb TO myuser;
- 模式与表级权限（示例）
- 授予对某个模式下所有表的 SELECT/INSERT/UPDATE/DELETE：
- SQL 示例（按需选择）：
- GRANT USAGE ON SCHEMA public TO myuser;
- GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO myuser;
- – 使后续在该模式创建的新表自动继承权限
- ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO myuser;
- 说明
- 在 pgAdmin 中也可在对应对象（数据库/模式/表）上右键 Properties > Permissions 逐项授予；多数变更会即时生效，也可在 SQL 编辑器中执行等效语句。
四 验证权限与常见问题
- 验证方式
- 使用新建的数据库角色从 pgAdmin 或命令行连接，尝试执行被授予的操作（连接、查询、写入、建表等），以确认权限是否按预期生效。
- 常见问题与处理
- 新建用户连不上：检查 pg_hba.conf 是否允许该来源 IP 与认证方式（如 md5/scram-sha-256），必要时调整并重载 PostgreSQL。
- 权限不生效：确认是对“正确的数据库/模式/表”授权，且对象所属 schema 与当前搜索路径一致；必要时在对象上显式授予。
- 远程访问受限：确认服务器防火墙（如 ufw）已放行 pgAdmin 端口（默认 5050），以及 PostgreSQL 监听地址与端口配置正确。
五 安全加固建议
- 保护 pgAdmin 登录：使用强密码并定期更换；仅在内网或受控网络开放访问。
- 限制访问来源：通过 ufw 仅允许可信 IP 访问 5050/tcp（pgAdmin 默认端口，可在配置中调整）。
- 启用加密传输：为 pgAdmin 配置 SSL/TLS（设置 SSL_CERT_FILE 与 SSL_KEY_FILE），对外提供 HTTPS 访问。
- 收紧数据库 ACL：在 pg_hba.conf 中仅允许指定网段/主机访问数据库，并使用强认证方式。
- 及时更新：定期执行 apt update && apt upgrade postgresql pgadmin4，降低安全风险。