本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 PostgreSQL 的 Amazon RDS 委派延伸模組支援

使用 PostgreSQL 的 Amazon RDS 委派延伸模組支援，您可以將延伸模組管理委派給非 rds_superuser 的使用者。系統會透過此委派延伸模組支援，建立名為 rds_extension 的新角色，而您必須將此角色指派給使用者以管理其他延伸模組。此角色可以建立、更新和捨棄延伸模組。

您可在 rds.allowed_extensions 參數中列出延伸模組，藉以指定可在 RDS 資料庫執行個體上安裝的延伸模組。如需詳細資訊，請參閱將 PostgreSQL 延伸模組與 Amazon RDS for PostgreSQL 搭配使用。

您可以使用 rds.allowed_delegated_extensions 參數，限制可由具有 rds_extension 角色的使用者所管理的可用延伸模組清單。

您可在下列版本中取得委派的延伸模組支援：

為使用者開啟委派延伸模組支援

您必須執行下列動作，才能將延伸模組支援委派給使用者：

在 PostgreSQL 的 RDS 委派延伸模組支援中使用的組態

關閉委派延伸模組的支援

部分關閉

委派的使用者無法建立新的延伸模組，但仍可以更新現有的延伸模組。

完全關閉

從使用者撤銷 rds_extension 角色會將使用者還原為標準許可。使用者無法再建立、更新或捨棄延伸模組。

postgres => revoke rds_extension from user_name;

事件觸發範例

如要允許具備 rds_extension 的委派使用者使用延伸模組，而這些延伸模組需要針對延伸模組建立的物件設定許可，您可以自訂下列事件觸發範例，並僅新增您希望委派使用者能夠存取完整功能的延伸模組。系統可以在 template1 (預設範本) 建立此事件觸發，因此從 template1 建立的所有資料庫都會具有該事件觸發。當委派的使用者安裝此延伸模組時，此觸發會針對延伸模組建立的物件自動授予擁有權。

CREATE OR REPLACE FUNCTION create_ext()

  RETURNS event_trigger AS $$

DECLARE

  schemaname TEXT;
  databaseowner TEXT;

  r RECORD;

BEGIN

  IF tg_tag = 'CREATE EXTENSION' and current_user != 'rds_superuser' THEN
    RAISE NOTICE 'SECURITY INVOKER';
    RAISE NOTICE 'user: %', current_user;
    FOR r IN SELECT * FROM pg_event_trigger_ddl_commands()
    LOOP
        CONTINUE WHEN r.command_tag != 'CREATE EXTENSION' OR r.object_type != 'extension';

        schemaname = (
            SELECT n.nspname
            FROM pg_catalog.pg_extension AS e
            INNER JOIN pg_catalog.pg_namespace AS n
            ON e.extnamespace = n.oid
            WHERE e.oid = r.objid
        );

        databaseowner = (
            SELECT pg_catalog.pg_get_userbyid(d.datdba)
            FROM pg_catalog.pg_database d
            WHERE d.datname = current_database()
        );
        RAISE NOTICE 'Record for event trigger %, objid: %,tag: %, current_user: %, schema: %, database_owenr: %', r.object_identity, r.objid, tg_tag, current_user, schemaname, databaseowner;
        IF r.object_identity = 'address_standardizer_data_us' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_gaz TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_lex TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_rules TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'dict_int' THEN
            EXECUTE format('ALTER TEXT SEARCH DICTIONARY %I.intdict OWNER TO %I;', schemaname, databaseowner);
        ELSIF r.object_identity = 'pg_partman' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config_sub TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.custom_time_partitions TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'postgis_topology' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON ALL TABLES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE ON SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
        END IF;
    END LOOP;
  END IF;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

CREATE EVENT TRIGGER log_create_ext ON ddl_command_end EXECUTE PROCEDURE create_ext();

            

使用 Amazon RDS 委派延伸模組支援的優點

藉由使用 PostgreSQL 的 Amazon RDS 委派延伸模組支援，您就可以將延伸模組管理安全地委派給不具備 rds_superuser 角色的使用者。此功能提供下列優勢：

PostgreSQL 的 Amazon RDS 委派延伸模組支援限制

特定延伸模組所需的許可

為了建立、使用或更新下列延伸模組，委派的使用者應具備下列功能、資料表和結構描述的必要權限。

安全考量

請記住，具有 rds_extension 角色的使用者將能夠在其具有連線權限的所有資料庫上管理延伸模組。如果目的是讓委派的使用者管理單一資料庫上的延伸模組，理想做法是公開撤銷每個資料庫的所有權限，然後明確將該資料庫的連線權限授予委派使用者。

有數個延伸模組可讓使用者從多個資料庫存取資訊。在將這些延伸模組新增至 rds.allowed_delegated_extensions 之前，請確定被您授予 rds_extension 的使用者具有跨資料庫能力。例如，postgres_fdw 和 dblink 提供在相同執行個體或遠端執行個體上跨資料庫查詢的功能。log_fdw 會讀取 postgres 引擎日誌檔案，這是關於執行個體中所有資料庫的檔案，可能包含來自多個資料庫的慢速查詢或錯誤訊息。pg_cron 可讓您在資料庫執行個體上執行排程的背景任務，並可將任務設定為在不同資料庫中執行。

捨棄延伸模組層疊已停用

具有 rds_extension 角色的使用者是否能捨棄具有層疊選項的延伸模組，由 rds.delegated_extension_allow_drop_cascade 參數所控制。根據預設，rds-delegated_extension_allow_drop_cascade 會設定為 off。如以下查詢所示，這表示具有 rds_extension 角色的使用者不能使用層疊選項捨棄延伸模組。

DROP EXTENSION CASCADE;

因為這會自動捨棄相依於延伸模組的物件，進而捨棄所有相依於這些物件的物件。嘗試使用層疊選項將導致錯誤。

若要授予該能力，則應將 rds.delegated_extension_allow_drop_cascade 參數設為 on。

變更 rds.delegated_extension_allow_drop_cascade 動態參數不需要重新啟動資料庫。您可以在以下其中一個層級執行此操作：

可使用委派延伸模組支援新增的範例延伸模組