本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Amazon Aurora 委託擴展支持 Postgre SQL

使用 Amazon Aurora 委派 Postgre 的擴充功能支援SQL，您可以將擴充功能管理委派給不需要. rds_superuser 透過此委派的擴充功能支援，會建立名rds_extension為的新角色，您必須將此角色指派給使用者，才能管理其他擴充功能。此角色可以建立、更新和刪除擴充功能。

您可以在rds.allowed_extensions參數中列出可以安裝在 Aurora Postgre SQL 資料庫執行個體上的擴充功能，以指定擴充功能。如需詳細資訊，請參閱將 Postgre SQL 擴充功能與 Amazon 搭配使RDS用。SQL

您可以限制具有該角色 using rds.allowed_delegated_extensions 參數的使用者可以管理的可rds_extension用擴充功能清單。

委派的擴充功能支援適用於下列版本：

開啟對使用者的委派擴充功能支援

您必須執行下列動作，才能啟用對使用者的委派擴充功能支援：

在 Aurora 委託擴展支持 Postgre 中使用的配置 SQL

關閉對委託擴展的支持

部分關閉

委派的使用者無法建立新的擴充功能，但仍可更新現有的擴充功能。

完全關閉

撤銷使用者的rds_extension角色會將使用者還原為標準權限。使用者無法再建立、更新或刪除擴充功能。

postgres => revoke rds_extension from user_name;

事件觸發範例

如果您想要允許具有的委派使用rds_extension者使用擴充功能，而擴充功能需要對其建立之物件設定權限的擴充功能，您可以自訂下列事件觸發器範例，並僅新增您希望委派使用者能夠存取完整功能的擴充功能。此事件觸發器可以在 template1（默認模板）上創建，因此從 template1 創建的所有數據庫都將具有該事件觸發器。委派使用者安裝擴充功能時，此觸發程序會自動授與擴充功能建立之物件的所有權。

CREATE OR REPLACE FUNCTION create_ext()

  RETURNS event_trigger AS $$

DECLARE

  schemaname TEXT;
  databaseowner TEXT;

  r RECORD;

BEGIN

  IF tg_tag = 'CREATE EXTENSION' and current_user != 'rds_superuser' THEN
    RAISE NOTICE 'SECURITY INVOKER';
    RAISE NOTICE 'user: %', current_user;
    FOR r IN SELECT * FROM pg_event_trigger_ddl_commands()
    LOOP
        CONTINUE WHEN r.command_tag != 'CREATE EXTENSION' OR r.object_type != 'extension';

        schemaname = (
            SELECT n.nspname
            FROM pg_catalog.pg_extension AS e
            INNER JOIN pg_catalog.pg_namespace AS n
            ON e.extnamespace = n.oid
            WHERE e.oid = r.objid
        );

        databaseowner = (
            SELECT pg_catalog.pg_get_userbyid(d.datdba)
            FROM pg_catalog.pg_database d
            WHERE d.datname = current_database()
        );
        RAISE NOTICE 'Record for event trigger %, objid: %,tag: %, current_user: %, schema: %, database_owenr: %', r.object_identity, r.objid, tg_tag, current_user, schemaname, databaseowner;
        IF r.object_identity = 'address_standardizer_data_us' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_gaz TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_lex TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_rules TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'dict_int' THEN
            EXECUTE format('ALTER TEXT SEARCH DICTIONARY %I.intdict OWNER TO %I;', schemaname, databaseowner);
        ELSIF r.object_identity = 'pg_partman' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config_sub TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.custom_time_partitions TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'postgis_topology' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON ALL TABLES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE ON SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
        END IF;
    END LOOP;
  END IF;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

CREATE EVENT TRIGGER log_create_ext ON ddl_command_end EXECUTE PROCEDURE create_ext();

            

使用 Amazon Aurora 委託擴展支持的好處

透過使用 Amazon Aurora 委派 Postgre 的擴充功能支援SQL，您可以安全地將擴充功能管理委派給沒有該rds_superuser角色的使用者。此功能提供下列優點：

Aurora 委託對 Postgre 擴展支持的限制 SQL

特定擴充功能所需的權限

若要建立、使用或更新下列擴充功能，委派的使用者必須具備下列函數、表格和結構描述的必要權限。

安全考量

請記住，具有rds_extension角色的使用者將能夠管理他們擁有連線權限的所有資料庫上的擴充功能。如果要讓委派的使用者在單一資料庫上管理擴充功能，最好的做法是撤銷每個資料庫上 public 的所有權限，然後明確地將該特定資料庫的連線權限授與委派使用者。

有幾個擴展可以允許用戶從多個數據庫訪問信息。請確定您授與的使用者rds_extension具有跨資料庫功能，然後再將這些擴充功能rds.allowed_delegated_extensions新增 例如，postgres_fdw並dblink提供在相同執行個體或遠端執行個體上跨資料庫進行查詢的功能。 log_fdw讀取 postgres 引擎記錄檔，這些記錄檔適用於執行個體中的所有資料庫，可能包含來自多個資料庫的緩慢查詢或錯誤訊息。 pg_cron可在資料庫執行個體上執行排定的背景作業，並設定要在不同資料庫中執行的工作。

刪除擴展級聯已禁用

具有rds_extension角色的用戶使用級聯選項刪除擴展的能力由rds.delegated_extension_allow_drop_cascade參數控制。rds-delegated_extension_allow_drop_cascade 預設會設定為 off。這意味著具有rds_extension角色的用戶不允許使用級聯選項刪除擴展，如下面的查詢。

DROP EXTENSION CASCADE;

因為這將自動刪除依賴於擴展的對象，以及依賴於這些對象的所有對象。嘗試使用串聯選項會導致錯誤。

若要授予該能力，rds.delegated_extension_allow_drop_cascade參數應設定為on。

變更動rds.delegated_extension_allow_drop_cascade態參數不需要重新啟動資料庫。您可以在下列其中一個層級執行此操作：

可使用委派的擴充功能支援新增的範例擴充功能