pgAdmin 在 Debian 上的权限管理操作指南
一 管理层次与总体思路
- 权限分为两层：
- 操作系统层：控制哪些 Linux 用户/系统服务可以访问 pgAdmin 的 Web 服务与配置文件。
- PostgreSQL 层：控制数据库角色（用户/组）对数据库对象（库、模式、表、函数等）的访问。
- 推荐原则：
- 最小权限原则：仅授予完成工作所需的最小权限。
- 职责分离：运维与开发使用不同数据库角色；pgAdmin 仅作为管理入口，不直接承载业务数据。
- 全程使用 SSL/TLS 加密传输，避免口令与数据泄露。
二 操作系统层访问控制
- 服务与端口
- 常见部署方式：
- 包管理器安装（如 DEB 包）时，pgAdmin 通常作为服务运行，默认监听 5050 端口；可通过修改 /etc/pgadmin4/pgadmin4.conf 的 SERVER_PORT 调整，并重启服务生效。
- 也可通过官方脚本 /usr/pgadmin4/bin/setup-web.sh 进行初始化配置（设置主密码、服务方式等）。
- 反向代理与多用户访问
- 使用 Nginx/Apache 反向代理统一暴露 80/443，便于多用户访问与集中认证；示例 Nginx 配置片段：
- location / { proxy_pass http://127.0.0.1:5050; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; }
- 防火墙放行：
- UFW：sudo ufw allow 5050/tcp（或放行 80/443 若启用反向代理与 HTTPS）。
- Linux 系统用户与组
- 新增管理用户：sudo adduser pgadmin
- 加入 Web 服务所需组（如 www-data）：sudo usermod -aG www-data pgadmin
- 文件权限：确保 /usr/pgadmin4/ 与 /var/lib/pgadmin4/ 等目录对运行用户可读写；必要时用 setfacl 精细化授权（示例：setfacl -m u:pgadmin:rwx /var/lib/pgadmin4）。
三 PostgreSQL 层权限管理
- 角色与数据库
- 创建只读与读写角色，并授予连接与模式使用权限：
- CREATE ROLE app_read WITH LOGIN PASSWORD ‘******’;
- CREATE ROLE app_write WITH LOGIN PASSWORD ‘******’;
- CREATE DATABASE appdb;
- GRANT CONNECT ON DATABASE appdb TO app_read, app_write;
- GRANT USAGE ON SCHEMA public TO app_read, app_write;
- 模式与对象权限
- 只读角色：
- GRANT SELECT ON ALL TABLES IN SCHEMA public TO app_read;
- ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO app_read;
- 读写角色：
- GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO app_write;
- ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO app_write;
- 如涉及序列：GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO app_write;
- 审计与回收
- 查看角色权限：\du+
- 表级权限明细：
- SELECT table_catalog, table_schema, table_name, privilege_type
FROM information_schema.table_privileges
WHERE grantee = ‘app_read’;
- 回收权限：REVOKE SELECT ON ALL TABLES IN SCHEMA public FROM app_read;
- 安全清理
- 安全删除角色（先转移对象所有权，再清理依赖）：
- REASSIGN OWNED BY old_role TO new_role;
- DROP OWNED BY old_role;
- DROP ROLE old_role;
- 在 pgAdmin 中操作
- 使用左侧对象浏览器定位对象，在“属性”页的“权限/ACL”处授予或回收权限；对批量对象可使用“ACL 权限快速设置向导”。
四 安全与运维要点
- 加密与认证
- 在 pgAdmin 连接参数中启用 SSL/TLS，并验证服务器证书有效性；对外服务强制使用 HTTPS。
- 备份与恢复
- 定期使用 pgAdmin 的备份功能或 pg_dump/pg_restore 执行全量与增量备份，并定期验证可恢复性。
- 日志与故障排查
- 结合 PostgreSQL 服务器日志 与 pgAdmin 日志定位权限相关错误（如连接被拒、权限不足等），优先检查认证方式（peer/scram-sha-256）、pg_hba.conf 规则与对象 ACL。