Linux pgAdmin的用户权限管理详解

Linux 上 pgAdmin 用户权限管理详解

一 权限模型与分层

• 在 Linux + pgAdmin 场景中，权限分为三层：
  • 系统层：操作系统用户/组、文件与目录权限、访问控制（如 sudo、ACL）。
  • pgAdmin 层：pgAdmin 的 Web 登录账户与角色（如 Administrator/Editor/Viewer），用于登录 pgAdmin 并管理服务器连接与对象浏览。
  • PostgreSQL 层：数据库对象的实际权限体系（角色/用户、数据库/模式/表/序列的 GRANT/REVOKE）。pgAdmin 只是管理入口，底层权限由 PostgreSQL 执行。
• 核心原则：以 最小权限原则 设计；优先用 角色 分组授权，再分配给用户；对敏感目录与配置文件设置严格的 所有者/权限/ACL。

二 系统层权限配置

• 运行与访问账户
  • 建议创建专用系统用户运行 pgAdmin（无登录权限），例如：sudo adduser --system --no-create-home --group pgadmin_svc。
  • 如需让特定管理员访问 pgAdmin，可创建管理组并加入用户：sudo groupadd pgadmin && sudo usermod -aG pgadmin webadmin。
• 目录与配置文件权限
  • 安装目录与配置目录建议：
    • sudo chown -R root:pgadmin /usr/pgadmin4
    • sudo chmod -R 750 /usr/pgadmin4
    • sudo chown root:root /etc/pgadmin4/pgadmin4.conf
    • sudo chmod 600 /etc/pgadmin4/pgadmin4.conf
  • 日志目录细粒度授权（可选）：sudo setfacl -m u:pgadmin_user:rwx /var/log/pgadmin4。
• 防火墙与访问控制
  • 仅开放必要端口（示例为 5050/tcp）：sudo firewall-cmd --permanent --add-port=5050/tcp && sudo firewall-cmd --reload。
  • 生产环境建议限制来源 IP，或使用反向代理与 TLS。

三 pgAdmin 层用户与角色

• 初始化与登录
  • 安装后执行 sudo /usr/pgadmin4/bin/setup-web.sh 设置 pgAdmin 主密码，通过 http://your-server-ip/pgadmin4 登录 Web 界面。
• 创建与管理 pgAdmin 账户
  • 在对象浏览器中创建 Login/Group Role，设置密码与属性（如 LOGIN、CREATEDB 等），并分配 Administrator/Editor/Viewer 等角色以控制界面能力。
• 对象级权限分配
  • 在目标对象（数据库、表、视图等）的 Properties → Permissions 中为 pgAdmin 账户或角色授予 SELECT/INSERT/UPDATE/DELETE/ALL 等权限；可使用 ACL 权限快速设置向导 批量配置。

四 PostgreSQL 层权限配置

• 创建用户与角色
  • 示例：
    • CREATE USER db_user WITH PASSWORD ‘strong_password’;
    • CREATE ROLE readonly;
• 数据库与模式级授权
  • 示例：
    • GRANT CONNECT ON DATABASE mydb TO readonly;
    • GRANT USAGE ON SCHEMA public TO readonly;
• 表与序列授权
  • 示例：
    • GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonly;
    • GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO readonly;
• 将角色授予用户
  • 示例：GRANT readonly TO db_user;
• 撤销与回收
  • 示例：REVOKE INSERT ON TABLE mytable FROM db_user;
• 说明
  • 通过 pgAdmin 的 Login/Group Roles 与对象 Permissions 页面执行等价操作，界面与 SQL 可互相印证。

五 常见场景与最佳实践

• 典型场景
  • 只读报表用户：授予 CONNECT、USAGE、SELECT（表/序列）；适合 BI/报表。
  • 应用服务账户：仅授予目标库/模式的必要权限（避免 SUPERUSER），遵循最小权限。
  • 开发账户：按需授予 READWRITE，并限制对生产环境的写入窗口与对象范围。
• 最佳实践
  • 使用 角色分组（如 readonly/readwrite/admin）统一管理权限，再分配给用户。
  • 定期审计：在 pgAdmin 或 SQL 中检查用户与权限，例如：
    • SELECT * FROM pg_user;
    • SELECT table_catalog, table_schema, table_name, privilege_type FROM information_schema.table_privileges WHERE grantee = ‘user1’;
  • 安全增强：限制 pgAdmin 访问 IP、启用 TLS、为操作系统与数据库账户设置强口令与轮换策略，重要变更前备份 /etc/pgadmin4 与数据库。