数据库类型概述

PostgreSQL 采用“角色（role）”统一管理用户与组，角色可具有登录能力（LOGIN）与一组系统属性（如 SUPERUSER、CREATEDB、CREATEROLE、REPLICATION、BYPASSRLS），并通过角色继承与对象级 ACL（GRANT/REVOKE）实现权限控制。权限粒度覆盖：

• 实例/集群级：连接保留、监控、发送信号、读/写服务器文件等（通过内置默认角色与系统属性）。
• 数据库级：CONNECT、CREATE、TEMPORARY。
• Schema 级：USAGE、CREATE。
• 表级：SELECT、INSERT、UPDATE、DELETE、TRUNCATE、REFERENCES、TRIGGER。
• 序列级（PG14+粒度更细）：USAGE（nextval）、SELECT（currval/lastval）、UPDATE（setval）。
• 函数/过程：EXECUTE。
• 语言：USAGE。
• 外部资源（FDW/服务器）：USAGE。
• 行级安全（RLS）：按策略约束可见/可改行；BYPASSRLS 可绕过。

PostgreSQL 同时提供内置默认角色用于常见运维与只读场景（例如监控与只读数据访问），以及安全默认（例如 RLS、默认 PUBLIC 权限等需按需收紧）。

注：不同主版本的默认角色集合略有差异，以下方案按当前主流版本（13+ 至 16）设计；在具体实例中请以 \du 或查询 pg_roles/pg_authid 实际核验。

标准角色列表

内置默认角色（参考，按需纳入上述聚合角色）：

• pg_monitor：读取常用监控视图，并可访问 pg_stat_* 等。
• pg_read_all_settings：读取所有服务器配置。
• pg_read_all_stats：读取所有统计信息。
• pg_stat_scan_tables：允许手动 ANALYZE/统计扫描相关访问（只读维度）。
• pg_read_all_data：跨库读取所有表/视图数据（谨慎使用）。
• pg_write_all_data：跨库写所有表/视图数据（极高风险，严禁用于业务）。
• pg_read_server_files / pg_write_server_files / pg_execute_server_program：访问服务器文件或执行外部程序，默认不授予业务。
• pg_signal_backend：允许对其他后端发送信号（仅运维场景）。
• pg_database_owner：特殊占位角色，代表“当前数据库的拥有者”（不可显式授予，用于 ACL/默认权限解析）。

各角色详细权限说明

1. sysadmin_superuser

• 范围：集群全域。仅少量平台管理员使用，不用于任何应用。
• 能力：所有操作（SUPERUSER），包含 BYPASSRLS、REPLICATION、CREATEDB/CREATEROLE。
• 管控：默认 NOLOGIN；需要操作时临时赋予或通过安全变更窗口执行。

2. role_admin

• 范围：集群级角色管理。
• 能力：CREATEROLE，可 CREATE/ALTER/DROP ROLE，管理成员关系；不可 SUPERUSER。
• 限制：无业务对象访问权限；与数据访问职责解耦。

3. db_creator

• 范围：创建数据库。
• 能力：CREATEDB。
• 限制：创建后不自动获得库内对象权限；库内权限另行授权。

4. monitor_readonly（聚合）

• 组成：pg_monitor + pg_read_all_settings + pg_read_all_stats + pg_stat_scan_tables。
• 用途：监控系统视图、统计与参数；不读取业务表数据。
• 限制：不具备 CONNECT 所需目标库授权时无法连接目标库；需按库授予 CONNECT/TEMP。

5. backup_operator

• 物理备份：REPLICATION 属性即可通过流复制协议执行 pg_basebackup（配合 pg_hba.conf）。
• 逻辑备份：如需 pg_dump 全库，授予对应库的 SELECT/USAGE 权限，或将其加入 pg_read_all_data（谨慎，强只读）。
• 限制：不授予写权限；与 replication_sender 职责可合并或分离。

6. file_ops_restricted

• 能力：按需加入 pg_read_server_files（COPY FROM FILE）、pg_write_server_files（COPY TO FILE）、pg_execute_server_program（COPY PROGRAM）。
• 注意：高风险，仅在受控环境短期赋权，审计到位。

7. replication_sender

• 能力：REPLICATION；用于 wal sender。
• 配置：pg_hba.conf 添加 replication 连接条目；与备份口令分离存放。

8. auditor_metadata

• 能力：读取参数与统计，不读业务行数据。
• 用途：合规/审计只看元数据场景。

9. app_owner_

• 作用：应用 schema 与对象 OWNER；负责设定默认权限（ALTER DEFAULT PRIVILEGES）。
• 限制：NOLOGIN；避免被滥用执行 DML。

10. app_ddl_

• 能力：在指定 schema 上 CREATE 对象（表/索引/视图/函数等）；可通过所有权或 GRANT 实现 ALTER/INDEX 等。
• 限制：不对其他应用 schema 具备任何权限。

11. app_rw_

• 能力：对应用 schema 内所有表 SELECT/INSERT/UPDATE/DELETE；对序列 USAGE, UPDATE；对函数 EXECUTE（限定名单）。
• 限制：无 DDL；无跨 schema 权限。

12. app_ro_

• 能力：对应用 schema 内所有表 SELECT；序列如需读取当前值授予 SELECT（不授予 USAGE 以避免 nextval）。
• 限制：无写入；无 DDL。

13. reporting_analyst

• 能力：对只读数据域（如 data_mart）SELECT；对 reporting schema 具备 CREATE，用于自建视图/物化视图与临时表。
• 限制：不直接访问原始交易表，避免业务影响。

14. login_rw_ / login_ro_

• 能力：LOGIN；通过 INHERIT 接收 app_rw/app_ro 权限。
• 安全：限制连接库、设置 search_path、statement_timeout、lock_timeout、work_mem 等。

权限配置建议

以下以应用名 demo 为样例（请替换 , , 等占位符）。

1. 基础安全收敛（建议在建库后立即执行）

-- 收紧 public schema 默认 CREATE 权限
REVOKE CREATE ON SCHEMA public FROM PUBLIC;

-- 收紧数据库级默认连接（按需）
REVOKE ALL ON DATABASE demo FROM PUBLIC;
GRANT CONNECT, TEMP ON DATABASE demo TO role_admin, monitor_readonly;  -- 示例

2. 创建业务角色骨架

-- 业务所有者与功能角色（NOLOGIN）
CREATE ROLE app_owner_demo NOLOGIN;
CREATE ROLE app_ddl_demo  NOLOGIN;
CREATE ROLE app_rw_demo   NOLOGIN;
CREATE ROLE app_ro_demo   NOLOGIN;

-- 登录角色
CREATE ROLE login_rw_demo LOGIN PASSWORD '***' INHERIT;
CREATE ROLE login_ro_demo LOGIN PASSWORD '***' INHERIT;

-- 绑定继承关系
GRANT app_rw_demo TO login_rw_demo;
GRANT app_ro_demo TO login_ro_demo;

3. Schema 与对象所有权

-- 创建/迁移应用 schema 并指定所有者
CREATE SCHEMA demo AUTHORIZATION app_owner_demo;

-- 允许 DDL 角色在 demo schema 内创建对象
GRANT USAGE, CREATE ON SCHEMA demo TO app_ddl_demo;

-- 只读/读写角色使用 schema（USAGE）
GRANT USAGE ON SCHEMA demo TO app_rw_demo, app_ro_demo;

-- 授予应用库连接
GRANT CONNECT, TEMP ON DATABASE demo TO app_rw_demo, app_ro_demo;

4. 现有对象授权（一次性）

-- 表与视图
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA demo TO app_rw_demo;
GRANT SELECT ON ALL TABLES IN SCHEMA demo TO app_ro_demo;

-- 序列（PG14+：USAGE=nextval，SELECT=currval/lastval）
GRANT USAGE, UPDATE ON ALL SEQUENCES IN SCHEMA demo TO app_rw_demo;
GRANT SELECT ON ALL SEQUENCES IN SCHEMA demo TO app_ro_demo;

-- 函数（按需筛选）
GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA demo TO app_rw_demo, app_ro_demo;

5. 默认权限（确保未来新对象自动继承） 注意：必须由“对象所有者”执行（即 app_owner_demo）。

-- 为未来在 demo schema 中由所有者创建的对象设默认权限
ALTER DEFAULT PRIVILEGES FOR ROLE app_owner_demo IN SCHEMA demo
  GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES    TO app_rw_demo;
ALTER DEFAULT PRIVILEGES FOR ROLE app_owner_demo IN SCHEMA demo
  GRANT SELECT ON TABLES                            TO app_ro_demo;

ALTER DEFAULT PRIVILEGES FOR ROLE app_owner_demo IN SCHEMA demo
  GRANT USAGE, UPDATE ON SEQUENCES                  TO app_rw_demo;
ALTER DEFAULT PRIVILEGES FOR ROLE app_owner_demo IN SCHEMA demo
  GRANT SELECT ON SEQUENCES                         TO app_ro_demo;

ALTER DEFAULT PRIVILEGES FOR ROLE app_owner_demo IN SCHEMA demo
  GRANT EXECUTE ON FUNCTIONS                        TO app_rw_demo, app_ro_demo;

-- 若允许 DDL 由 app_ddl_demo 创建对象，也需为其创建的对象设置默认权限
ALTER DEFAULT PRIVILEGES FOR ROLE app_ddl_demo IN SCHEMA demo
  GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES    TO app_rw_demo;
ALTER DEFAULT PRIVILEGES FOR ROLE app_ddl_demo IN SCHEMA demo
  GRANT SELECT ON TABLES                            TO app_ro_demo;
ALTER DEFAULT PRIVILEGES FOR ROLE app_ddl_demo IN SCHEMA demo
  GRANT USAGE, UPDATE ON SEQUENCES                  TO app_rw_demo;
ALTER DEFAULT PRIVILEGES FOR ROLE app_ddl_demo IN SCHEMA demo
  GRANT SELECT ON SEQUENCES                         TO app_ro_demo;
ALTER DEFAULT PRIVILEGES FOR ROLE app_ddl_demo IN SCHEMA demo
  GRANT EXECUTE ON FUNCTIONS                        TO app_rw_demo, app_ro_demo;

6. 监控、备份与审计角色

-- 聚合监控角色由实例管理员一次性配置
CREATE ROLE monitor_readonly NOLOGIN;
GRANT pg_monitor, pg_read_all_settings, pg_read_all_stats, pg_stat_scan_tables TO monitor_readonly;

-- 按库授予连接（如需）
GRANT CONNECT ON DATABASE demo TO monitor_readonly;

-- 备份（物理）
CREATE ROLE backup_operator NOLOGIN REPLICATION;
-- 备份（逻辑全库，谨慎）
GRANT pg_read_all_data TO backup_operator;  -- 或针对目标库/Schema 精细授权

-- 审计仅元数据
CREATE ROLE auditor_metadata NOLOGIN;
GRANT pg_read_all_settings, pg_read_all_stats TO auditor_metadata;

7. 连接与会话安全基线

-- 限制登录角色可连接的数据库
ALTER ROLE login_rw_demo IN DATABASE demo SET search_path = 'demo,public';
ALTER ROLE login_ro_demo IN DATABASE demo SET search_path = 'demo,public';

-- 会话级安全（示例）
ALTER ROLE login_rw_demo SET statement_timeout = '30s';
ALTER ROLE login_rw_demo SET lock_timeout      = '5s';
ALTER ROLE login_ro_demo SET statement_timeout = '2m';

8. 行级安全（RLS）示例（多租户/隔离场景）

-- 启用 RLS
ALTER TABLE demo.orders ENABLE ROW LEVEL SECURITY;

-- 示例策略：仅允许访问与当前设置的租户ID匹配的行
CREATE POLICY p_read_orders ON demo.orders
  FOR SELECT
  TO app_ro_demo, app_rw_demo
  USING (tenant_id = current_setting('app.tenant_id')::int);

CREATE POLICY p_write_orders ON demo.orders
  FOR INSERT, UPDATE, DELETE
  TO app_rw_demo
  USING (tenant_id = current_setting('app.tenant_id')::int)
  WITH CHECK (tenant_id = current_setting('app.tenant_id')::int);

-- 会话进入时由中间件设置 app.tenant_id
-- 避免授予 BYPASSRLS（仅限超级管理员）

9. 对公共 schema 的替代做法（如需完全禁用）

-- 可将 public schema 仅保留 USAGE，禁止 CREATE
REVOKE CREATE ON SCHEMA public FROM PUBLIC;
GRANT USAGE ON SCHEMA public TO PUBLIC;

安全注意事项

• 严禁在应用中使用 SUPERUSER、pg_write_all_data、pg_read_all_data 等高危全域角色。
• 默认收敛 PUBLIC 权限：至少 REVOKE public schema 的 CREATE；按需收紧数据库 CONNECT。
• 使用 NOLOGIN 的“聚合/组角色”承载权限，登录角色仅继承所需权限，便于审计与回收。
• 默认权限必须由对象所有者设置；对象所有者变更会影响后续默认权限的生效主体。
• GRANT ON ALL 仅作用于“现存对象”；务必配合 ALTER DEFAULT PRIVILEGES，或在 CI/CD 中补齐授权。
• RLS 生效后，确保中间件稳定设置隔离上下文（如 current_setting），谨慎使用 BYPASSRLS。
• 物理复制与物理备份需配置 pg_hba.conf 与专用网络隔离，备份口令与应用口令分离管理。
• 仅在严格受控场景下授予 pg_read/write_server_files 与 pg_execute_server_program，并保留审计。
• 变更流程：权限增/减需走变更审批并记录（谁、何时、为何、影响范围）；定期（如季度）进行权限审计与收敛。
• 密码与登录安全：使用 SCRAM-SHA-256，强制密码轮换与到期；限制失败重试；可结合网络层 MFA/堡垒机。

最佳实践总结

• 架构化角色分层：系统管理（sysadmin/role_admin/db_creator/monitor/backup）、业务所有权（app_owner）、业务功能（app_ddl/app_rw/app_ro）、登录承载（login_*）。
• 最小权限原则：仅授予完成任务所需的对象级权限；分离所有权、DDL、DML、只读。
• 统一授权入口：通过 NOLOGIN 的组角色聚合权限，通过登录角色继承使用。
• 默认权限与自动化：结合 ALTER DEFAULT PRIVILEGES 与部署流水线，确保新对象自动获得正确授权。
• 收敛 PUBLIC：禁止在 public schema 创建对象；按需限制数据库 CONNECT。
• 审计与回收：建立定期巡检清单（高危角色成员、孤儿权限、跨 schema 访问），对不必要权限及时回收。
• RLS 与多租户：多租户/隔离需求优先采用 RLS 与策略，避免在应用层自行实现“过滤”。
• 备份/复制专用：备份与复制账号分离于业务账号；仅授予 REPLICATION 或必需只读权限。
• 监控最小暴露：监控账号使用 pg_monitor 等默认角色组合，不直接授予数据表读取。
• 版本核验：在目标实例通过 \du 和 pg_roles 校验默认角色可用性与权限差异，兼容团队内不同 PostgreSQL 主版本。

数据库类型概述

MongoDB 采用基于角色的访问控制（RBAC）模型。用户绑定到某个认证数据库（通常为 admin 或目标业务库），用户通过被授予的角色获取权限；角色由一组特权（privileges）构成，而特权由资源（resource：集群/数据库/集合）与操作（actions）组成。MongoDB提供一套内置角色覆蓋常见管理与业务场景，同时支持创建自定义角色以满足精细化授权需求。

关键要点：

• 资源层级：cluster（集群级）、db（库级）、collection（集合级）
• 授权粒度：库/集合级读写与管理操作、集群级管理与监控操作、备份/恢复操作
• 认证机制：SCRAM-SHA-256/SCRAM-SHA-1 等（生产建议使用 SCRAM-SHA-256）
• 角色继承：角色可以包含其他角色，实现权限复用与分层

适用部署形态：单机、复制集、分片集群（分片与路由配置相关权限需集群级角色）。

标准角色列表（表格形式）

说明：

• 带 AnyDatabase 的角色与集群级角色需要在 admin 数据库下授予。
• dbOwner 仅对其所在数据库有效，不具备集群级权限。
• 内置角色不覆盖所有特定业务场景（如变更流 Change Streams），此类需自定义角色补充特权。

各角色详细权限说明

• read（库级）

  • 允许：find、listCollections、listIndexes 等只读操作
  • 不允许：insert、update、remove、创建/删除集合、修改集合元数据

• readWrite（库级）

  • 允许：read 的全部 + insert、update、remove 等数据写操作
  • 不允许：用户/角色管理、集群级操作

• dbAdmin（库级）

  • 允许：集合和索引管理（创建、删除索引）、查看统计（dbStats、collStats）、集合校验（validate）、profile 管理等
  • 不允许：业务数据写操作、跨库与集群级操作

• userAdmin（库级）

  • 允许：在该库创建/修改/删除用户和角色，授予/回收角色
  • 不允许：数据读写、跨库与集群级操作

• dbOwner（库级）

  • 组合：readWrite + dbAdmin + userAdmin（仅限该库）
  • 不允许：集群级操作

• readAnyDatabase / readWriteAnyDatabase / dbAdminAnyDatabase / userAdminAnyDatabase（admin 授予，跨库）

  • 分别对应跨库的只读/读写/库级管理/用户与角色管理
  • 不包含集群级管理（需 cluster* 角色）

• clusterMonitor（集群级）

  • 允许：查看 serverStatus、replSetGetStatus、listShards、top 等监控信息
  • 不允许：变更配置、数据写入

• clusterManager（集群级）

  • 允许：复制集与分片相关管理（如分片信息、迁移 chunk 等）及路由配置相关操作
  • 不允许：主机层面维护操作（此为 hostManager）

• hostManager（集群级）

  • 允许：主机级维护相关的数据库内操作（例如日志轮转等）
  • 不允许：变更分片/复制集配置

• clusterAdmin（集群级）

  • 组合：clusterManager + clusterMonitor + hostManager 等；用于全面集群管理
  • 不允许：无（除非受安全设置限制）

• backup（集群级）

  • 允许：读取备份所需系统集合和 oplog，支持一致性备份场景
  • 不允许：对业务集合进行写入

• restore（集群级）

  • 允许：恢复所需的插入/写入和必要的元数据操作
  • 不允许：集群配置变更

• root（集群级）

  • 允许：对所有资源执行所有操作
  • 建议：仅用于初始配置与少量平台管理员，日常避免使用

权限配置建议

建议分层的角色体系：系统/平台层、数据库/业务层、运维辅助层

1. 平台与集群层（在 admin 下）

• 平台超级管理员（极限少数）
  • 角色：root
• 集群管理员
  • 角色：clusterAdmin
• 监控账号
  • 角色：clusterMonitor
• 备份/恢复账号
  • 角色：backup、restore

示例（在 admin 数据库执行）：

• 创建集群管理员 use admin db.createUser({ user: "cluster_admin", pwd: "<strong_password>", roles: [ { role: "clusterAdmin", db: "admin" } ] })

• 创建备份与恢复用户 use admin db.createUser({ user: "backup_user", pwd: "", roles: [ { role: "backup", db: "admin" } ] }) db.createUser({ user: "restore_user", pwd: "", roles: [ { role: "restore", db: "admin" } ] })

• 创建监控用户 use admin db.createUser({ user: "monitor_user", pwd: "", roles: [ { role: "clusterMonitor", db: "admin" } ] })

2. 业务与数据库层（在目标业务库下）

• 业务只读角色：read
• 业务读写角色：readWrite
• 单库管理员：dbOwner（仅限该库）
• 库级用户管理：userAdmin（仅限该库，用于团队自管）

示例（在业务库 appdb 执行）：

• 创建读写应用用户 use appdb db.createUser({ user: "app_rw", pwd: "", roles: [ { role: "readWrite", db: "appdb" } ] })

• 创建只读应用用户 use appdb db.createUser({ user: "app_ro", pwd: "", roles: [ { role: "read", db: "appdb" } ] })

• 单库管理员 use appdb db.createUser({ user: "app_db_owner", pwd: "", roles: [ { role: "dbOwner", db: "appdb" } ] })

3. 自定义业务角色（按需）

• 变更流（Change Streams）读者：在具备读取目标库/集合的同时，需要额外授予 changeStream 特权。推荐做法：在 admin 下创建一个聚合角色授予 changeStream，再与库级 read/readWrite 组合。

示例：

• 创建 changeStream 辅助角色（在 admin 下） use admin db.createRole({ role: "changestream_reader", privileges: [ { resource: { cluster: true }, actions: [ "changeStream" ] } ], roles: [] })

• 将角色授予应用用户（需兼具库级 read 或 readWrite） use appdb db.updateUser("app_rw", { roles: [ { role: "readWrite", db: "appdb" }, { role: "changestream_reader", db: "admin" } ] })

• 只读分析角色（限定集合） 建议创建针对特定集合的自定义角色，最小授权： use appdb db.createRole({ role: "analytics_read_orders", privileges: [ { resource: { db: "appdb", collection: "orders" }, actions: [ "find", "listIndexes" ] } ], roles: [] }) db.createUser({ user: "analytics_ro", pwd: "", roles: [ { role: "analytics_read_orders", db: "appdb" } ] })

4. 初始启用鉴权与首个管理员创建（顺序建议）

• 第一次部署：
  • 以未启用鉴权方式启动 mongod
  • 在 admin 库创建首个管理员（userAdminAnyDatabase 或 root） use admin db.createUser({ user: "platform_admin", pwd: "", roles: [ { role: "root", db: "admin" } ] })
  • 启用鉴权（security.authorization: enabled），并重启
  • 使用管理员创建其他所需用户与角色
• 复制集/分片集群：同时配置内部认证（keyFile 或 KMIP）

安全注意事项

• 最小权限原则：业务用户仅授予必需角色与特权，避免给应用授予 dbOwner、root、AnyDatabase、cluster 等高权限。
• 分离职责：
  • 应用账号：read 或 readWrite
  • 库级管理：dbOwner/userAdmin
  • 集群管理：clusterAdmin
  • 监控：clusterMonitor
  • 备份/恢复：backup/restore
• 认证与传输安全：
  • 启用 SCRAM-SHA-256
  • 全面启用 TLS/SSL，加密传输；为复制集/分片启用内部成员认证（keyFile）
• 账户与凭据管理：
  • 禁止共享账号，分别为应用/人员创建独立用户
  • 强密码策略、定期轮换，禁用不再使用的账号
  • 使用专用只读凭据供监控与审计工具
• 审计与日志：
  • 启用审计日志（企业版支持审计），记录用户管理与高危操作
  • 定期审计角色与用户的有效性和最小化
• 网络与访问控制：
  • 仅监听受控网段；通过防火墙/安全组限制来源 IP
  • 禁止对公网暴露数据库端口
• 配置变更管控：
  • 对角色/用户变更执行变更流程与审批；在测试环境验证后再应用到生产
• 避免使用内部保留角色：
  • 不要将 __system 等内部角色授予普通用户

最佳实践总结

• 采用分层角色模型：集群层（clusterAdmin/clusterMonitor/backup/restore）与业务层（read/readWrite/dbOwner）分离。
• 应用账号最小化：仅授予目标库的 read 或 readWrite，如需变更流，额外授予聚合的 changestream_reader 自定义角色。
• 少量平台管理员保留 root，其余用更细分角色满足运维场景。
• 使用自定义角色实现集合级精细授权，避免授予 *AnyDatabase 或 dbOwner 给应用。
• 全面启用鉴权与 TLS，复制集/分片启用内部认证；定期审计并收敛权限。
• 将备份、恢复、监控各自独立账号化，便于权限与审计隔离。
• 在测试环境验证角色配置与访问路径，再部署到生产，确保不阻断业务且不越权。

以上方案覆盖 MongoDB 内置标准角色与常见业务/运维场景的权限设计与配置步骤，可作为生产环境的基线框架并可按需扩展自定义角色实现更细粒度控制。