KingbaseES-管理public角色

关于public角色
在KingbaseES中，public是一个特殊的角色，在元数据表中都查不到该角色。但它确实是存在的，它默认拥有以下权限：

数据库：conncet,temp/temprary权限，与模式无关

任何新建的数据库，系统会自动为public角色赋予connect和在任何schema下创建临时表的权限。

public模式：usage,create权限，与数据库无关

在任何新建的数据库的public schema下有usage和create的权限。

函数：execute权限，仅限于public模式下

Language语言：usage权限，与模式无关

注意

public角色属于一个全局性的角色，这就意味着你所创建的角色都可以理解为是public角色组成员;
对public权限的继承完全不受noinherit的控制，一旦创建了一个拥有login权限的角色，它会立即继承拥有上述权限，此时如果想通过revoke（比如revoke connect on database）来回收的话不会成功，因为这是通过组-组成员来继承的，这种继承权限无法通过单纯的对角色成员revoke掉，只能对组进行revoke,通过继承来实现回收。

授予和撤销public角色权限
因为每个数据库用户都可以访问 public，所以每个数据库用户都可以访问授予 public 的所有权限和角色。仅当每个数据库用户都需要特权时，安全管理员和数据库用户才应将特权或角色授予 public。 任何特定角色拥有的特权包括直接授予给它的特权、从它作为其成员的角色中得到的特权以及授予给public 的特权。public角色权限有以下特性：

数据库中存在一个全局public角色，它不具体存在，但会影响到数据库中已有或将有角色的权限

Public就像一个public组，数据库中所有角色默认继承其权限

数据库中角色继承的权限不能仅仅对角色进行revoke,这样是不会成功的，只有通过对其所在组的权限进行revoke才可以

因此，从 public 收回 SELECT 特权并不一定会意味着所有角色都会失去在该对象上的SELECT 特权。那些直接被授予的或者通过另一个角色被授予的角色仍然会拥有它。类似地，从一个用户收回 SELECT后，如果 public或者另一个成员关系角色仍有 SELECT权利，该用户还是可以使用SELECT。

示例1 用户自动继承public权限

--Step1:创建用户u1
\c test1 system
Create user u1;
--Step2:用户登录数据库
\c test1 u1
--Step3:创建表
Create table t1(id int);
Create temp table tmp1(id int);

test=# CREATE DATABASE test1;
CREATE DATABASE
test=#testl system
您现在已经连接到数据库"testl",用户"system"
testl=# create user ul；
CREATE ROLE
testl=\c testl ul
您现在已经连接到数据库"testl",用户"ul"
testl=> Create table tl(id int);
CREATE TABLE
testl=> Create temp table tmpl(id int);
CREATE TABLE
--可见，新建用户是自动继承public角色的权限的。

示例2 revoke继承public的权限

--Step1:收回权限
\c test1 system
Revoke connect on database test1 from u1;
Revoke create on schema public from u1;
--step2:验证权限
\c test u1
Create table t2(id int);
\d

testl>\c testl system
您现在已经连接到数据库"testl",用户"system".
testl=# Revoke connect on database testl from ul ;
WARNING: unable to revoke privilege not granted.
REVOKE
testl=# Revoke create on schema public from ul;
WARNING: unable to revoke privilege not granted.
REVOKE
testl=# \c testl ul
您现在已经连接到数据库"testl",用户"ul".
testl=> create table t2(id int) CREATE TABLE
testl=> \d
                    关联列表
架构模式|         名称        |  类型  |  拥有者 |
-------+---------------------+--------+--------+
public |  sys statstatements |  视图  | system |
public |     tl              | 数据表 |  ul    |
public |     t2              | 数据表 |  ul    |
(3 行记录)

--由此可见connect和create on schema public的权限并没有收回。

示例3 revoke public角色的权限

--step1:回收connect权限
\c test1 system
Revoke connect on database test1 from public;
\c test1 u1

test1=>\c test1 system
您现在已经连接到数据库"testl",用户"system".
testl=# Revoke connect on database test1 from public;
REVOKE
testl=# \c test1 ul
Fatal: permission denied for database”test1”
描述:User does not have CONNECT privilege.
保留上一次连接

--用户没有connect权限了

--Step2:回收create权限
\c test1 system
Grant connect on database test1 to u1;
\c test1 system
Revoke all on schema public from public;
\c test1 u1
Create table t3(id int);

test1=#\c  test1 system
您现在已经连接到数据库"test1",用户"system"
test1=# Grant connect on database test1 to ul;
GRANT
test1=# \c test1 system
您现在已经连接到数据库"test1",用户"system"
test1=# Revoke all on schema public from Public
REVOKE
test1=# \c test1 ul
您现在已经连接到数据库"test1",用户"ul".
 test1=> Create table t3(id int);
ERROR: no schema has been selected to create in 第1行 Create table t3(id int):

--u1用户已经没有在public schema下创建表的权限了