תפקידים במערכת בקרת גישה פרטנית

בדף הזה מוגדרים המאפיינים, המגבלות והשימוש המיועד של שלושת תפקידי המערכת המוגדרים מראש, שבקרת הגישה הפרטנית מספקת לכל מסד נתונים. לכל תפקיד במערכת יש קבוצה שונה של הרשאות, שאי אפשר לבטל. המידע הזה רלוונטי גם למסדי נתונים עם ניב GoogleSQL וגם למסדי נתונים עם ניב PostgreSQL.

תפקיד מערכת של public

  • כברירת מחדל, לכל המשתמשים עם בקרת גישה מפורטת (FGAC) יש חברות ב-IAM ב-public.

  • כל התפקידים במסד הנתונים מקבלים בירושה את ההרשאות של התפקיד הזה.

  • בהתחלה, ל-public אין הרשאות, אבל אתם יכולים לתת לו הרשאות. אם נותנים הרשאה ל-public, היא זמינה לכל התפקידים במסד הנתונים, כולל תפקידים שנוצרו אחרי כן.

תפקיד מערכת של spanner_info_reader

  • לתפקיד הזה יש את ההרשאה SELECT בתצוגות INFORMATION_SCHEMA למסדי נתונים בניב GoogleSQL, ובתצוגות information_schema למסדי נתונים בניב PostgreSQL.

  • אי אפשר להעניק הרשאות אחרות למשתמש spanner_info_reader.

  • כדאי להקצות את התפקיד הזה לכל תפקיד במסד הנתונים שצריך גישת קריאה ללא סינון לתצוגות INFORMATION_SCHEMA (מסדי נתונים בניב GoogleSQL) או לתצוגות information_schema (מסדי נתונים בניב PostgreSQL).

תפקיד מערכת של spanner_sys_reader

  • לתפקיד הזה יש את ההרשאה SELECT בטבלאות SPANNER_SYS.

  • אי אפשר להעניק הרשאות אחרות למשתמש spanner_sys_reader.

  • צריך להעניק חברות בתפקיד הזה לכל תפקיד במסד הנתונים שצריך גישת קריאה לסכימה SPANNER_SYS.

הגבלות על תפקידי מערכת

  • אי אפשר למחוק תפקיד מערכת באמצעות הצהרת DROP ROLE.

  • תפקידי מערכת לא יכולים להיות חברים בתפקידים אחרים במסד הנתונים. כלומר, ההצהרה הבאה ב-GoogleSQL לא תקינה:

    GRANT ROLE pii_access TO ROLE spanner_info_reader;

  • אי אפשר להעניק חברות בתפקיד public לתפקידים במסד הנתונים. לדוגמה, גם ההצהרה הבאה ב-GoogleSQL לא תקינה:

    GRANT ROLE public TO ROLE pii_access;

    עם זאת, אתם יכולים להעניק חברות בתפקידים spanner_info_reader ו-spanner_sys_reader. לדוגמה, ההצהרות הבאות תקינות.

    GoogleSQL 

      GRANT ROLE spanner_info_reader TO ROLE pii_access;
  GRANT ROLE spanner_sys_reader TO ROLE pii_access;
  ```

    PostgreSQL 

    GRANT spanner_info_reader TO pii_access;
GRANT spanner_sys_reader TO pii_access;

המאמרים הבאים