Debian系统中pgAdmin的权限如何设置

Debian 上 pgAdmin 权限设置

一 权限模型与总体思路

• 权限分为两层：
  1. 操作系统层：控制哪些 Linux 用户/组可以访问 pgAdmin 的 Web 服务与配置文件；
  2. PostgreSQL 层：控制数据库角色对库、模式、表、函数等的访问（由 pgAdmin 作为客户端去执行授权语句）。
• 推荐做法：为 pgAdmin 创建最小权限的系统账户运行服务；在数据库中为应用与运维分别创建角色，遵循最小权限原则与职责分离；通过 pgAdmin 的对象浏览器 → 属性 → ACL 权限快速设置向导进行细粒度授权与回收。

二 操作系统层权限设置

• 创建专用系统用户（避免以 root 运行服务）：
  sudo adduser --system --group --home /var/lib/pgadmin4 --shell /usr/sbin/nologin pgadmin4
• 配置服务以专用用户运行（以包管理器安装的 pgAdmin4 常见为 systemd 服务）：
  sudo systemctl edit pgadmin4
  在打开的编辑器里写入：
  [Service]
  User=pgadmin4
  Group=pgadmin4
  保存后执行：sudo systemctl daemon-reload && sudo systemctl restart pgadmin4
• 文件与目录权限：
  sudo chown -R pgadmin4:pgadmin4 /var/lib/pgadmin4 /var/log/pgadmin4
  sudo find /var/lib/pgadmin4 -type f -exec chmod 640 {} +
  sudo find /var/lib/pgadmin4 -type d -exec chmod 750 {} +
• 访问控制与端口：
  • 若需限制本地访问，可将服务仅绑定 127.0.0.1；如需远程访问，绑定 0.0.0.0 并配合防火墙与反向代理的访问控制。
  • 使用 UFW 放行端口（示例为 5050/tcp）：sudo ufw allow 5050/tcp
  • 通过 Nginx/Apache 反向代理时，启用 TLS、限制来源 IP，并在代理层设置必要的 HTTP Basic 或 OAuth2 保护。

三 PostgreSQL 层权限设置

• 登录数据库创建角色与数据库（示例）：
  sudo -u postgres psql
  CREATE ROLE app_readonly WITH LOGIN PASSWORD ‘ro_strong_pwd’;
  CREATE ROLE app_rw WITH LOGIN PASSWORD ‘rw_strong_pwd’;
  CREATE DATABASE appdb OWNER app_rw;
  GRANT CONNECT ON DATABASE appdb TO app_readonly, app_rw;
  \c appdb
  – 只读：对 public 模式常用对象的只读权限
  GRANT USAGE ON SCHEMA public TO app_readonly;
  GRANT SELECT ON ALL TABLES IN SCHEMA public TO app_readonly;
  ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO app_readonly;
  – 读写：在只读基础上授予写入与 DDL
  GRANT INSERT, UPDATE, DELETE, TRUNCATE ON ALL TABLES IN SCHEMA public TO app_rw;
  ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT INSERT, UPDATE, DELETE, TRUNCATE ON TABLES TO app_rw;
  GRANT USAGE, CREATE ON SCHEMA public TO app_rw;
  – 按需授予序列、函数、类型等权限
  GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO app_readonly, app_rw;
  ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT USAGE, SELECT ON SEQUENCES TO app_readonly, app_rw;
  GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA public TO app_rw;
  ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT EXECUTE ON FUNCTIONS TO app_rw;
  – 运维/管理员角色（按需）
  CREATE ROLE admin WITH CREATEDB CREATEROLE LOGIN PASSWORD ‘admin_pwd’;
  GRANT ALL PRIVILEGES ON DATABASE appdb TO admin;
  \q
• 在 pgAdmin 中，使用“对象浏览器 → 目标对象 → 属性 → ACL 权限快速设置向导”为上述角色授予/回收权限，减少手写 SQL 的风险。

四 审计与回收

• 查看角色权限：
  \du+
  \z 或 \dp
• 查询表级权限明细（示例用户为 user1）：
  SELECT table_catalog, table_schema, table_name, privilege_type
  FROM information_schema.table_privileges
  WHERE grantee = ‘user1’;
• 撤销权限（示例撤销对 public 模式所有表的 SELECT）：
  REVOKE SELECT ON ALL TABLES IN SCHEMA public FROM user1;
• 安全删除角色（先转移对象所有权，再清理权限）：
  REASSIGN OWNED BY user1 TO new_role;
  DROP OWNED BY user1;
  DROP ROLE user1;
• 变更前务必在测试环境验证，并做好备份。

五 常见场景与建议

• 只读报表：为报表应用创建 app_readonly，仅授予 USAGE 与 SELECT，并对未来表设置默认权限。
• 应用写入：为业务应用创建 app_rw，授予 SELECT/INSERT/UPDATE/DELETE/TRUNCATE 与必要的 USAGE/CREATE（模式），按需授予序列与函数权限。
• 运维管理：创建 admin 角色用于日常维护，避免共享高权限账户；通过 pgAdmin 登录角色与数据库角色分离，降低风险。
• 远程访问：优先使用 SSH 隧道或 反向代理 + TLS；若直接开放端口，务必结合 防火墙与 强口令/多因素策略。