GaussDB(DWS)数据库的安全能力介绍 – 用户删除时，涉及到的依赖处理方式

---

数据库的使用中，有时会遇到某些用户离职，或者角色变更时，要对其账号进行销户，权限进行回收等操作。此时如果各种对象的权限比较复杂，依赖较多，是很难顺利直接清理掉该用户的。

本文主要介绍如何进行用户的各种依赖识别与清理，并简单介绍下推荐的权限管理方式。

---

postgres类数据库经常碰到的问题 – role “test1” cannot be dropped because some objects depend on it

如下图所示，要删除用户test1时，出现如下提示：

testdb=# drop user test1;
ERROR:  role "test1" cannot be dropped because some objects depend on it
DETAIL:  owner of database testdb
3 objects in database postgres

ERROR的提示信息说明：

当前用户时testdb这个数据库的owner

有3个依赖的对象在postgres数据库中

OK，那么我们就按照提示信息来一次处理

首先，当前用户是一个数据库的owner，那么有以下两种处理办法

方法一、将数据库owner转移给其他用户，例如如下转移给grantor用户

testdb=# alter database testdb owner to grantor;
ALTER DATABASE
testdb=# \l
                                   List of databases
   Name    |   Owner   | Encoding |   Collate   |    Ctype    |    Access privileges
-----------+-----------+----------+-------------+-------------+-------------------------
 testdb    | grantor   | UTF8     | en_US.UTF-8 | en_US.UTF-8 |
(4 rows)

-- 可以看到删除后，不会再报owner database的信息
testdb=# drop user test1;
ERROR:  role "test1" cannot be dropped because some objects depend on it
DETAIL:  3 objects in database postgres

方法二、如果不需要该库，也可以直接将其删除

PS：对于非数据库的对象：表或者schema等，可以使用如下方法将其全部转移给其他用户

-- owner转移
testdb=#  REASSIGN OWNED BY test1 TO grantor;
REASSIGN OWNED
-- 清理owner是test1的对象，慎用，会将用户同名的schema也一同清理掉。
testdb=# drop owned by test1;
DROP OWNED

接下来，我们owner的提示信息已经处理完了，处理下一步提示：3 objects in database postgres

这个意思是，在postgres里面有3个对象有依赖该用户。由于库内系统表的依赖，在其他数据库中不会打印出详细的依赖对象信息，那么在postgres库下去执行drop user的时候，会打印出具体的信息。

连接到postgres库执行如下：

postgres=# drop user test1;
ERROR:  role "test1" cannot be dropped because some objects depend on it
DETAIL:  privileges for table pg_class
privileges for schema grantor

这里就可以看到，有两个依赖项：

privileges for table pg_class：pg_class上test1用户的权限
schema grator上test1用户的权限

那么，我们就可以直接看一下这两个对象对应的权限，去除即可。

postgres=# select relname,relacl from pg_class where relname = 'pg_class';
 relname  |              relacl
----------+----------------------------------
 pg_class | {=r/superuser,test1=r/superuser}
(1 row)

postgres=# select nspname,nspacl from pg_namespace where nspname = 'grantor';
 nspname |                         nspacl
---------+---------------------------------------------------------
 grantor | {grantor=UC/grantor,grantor=LP/grantor,test1=U/grantor}
(1 row)

postgres=# revoke select on table pg_class from test1;
REVOKE
postgres=# revoke usage on schema grantor from test1;
REVOKE
postgres=# drop user test1;
DROP USER

此时再进行用户删除，就没有其他依赖了。

postgres=# drop user test1;
DROP USER

PS:如果不知道具体对象还删不掉的时候，我们怎么操作呢，此处构造一个案例作为演示，新建用户test2，并赋予其grantor的select权限，此时无法drop

testdb2=# drop user test2;
ERROR:  role "test2" cannot be dropped because some objects depend on it
DETAIL:  2 objects in database postgres

用户的依赖内部实际储存，为pg_shdepend系统表，里面记录了各个有依赖的对象的oid及其依赖关系。首先我们获取到用户的oid，再去系统表中找对应的依赖记录。

testdb2=# select oid ,rolname from pg_roles where rolname = 'test2';
    oid     | rolname
------------+---------
 2147484573 | test2
(1 row)

postgres=# select * from pg_shdepend where refobjid = 2147484573;
 dbid  | classid |   objid    | objsubid | refclassid |  refobjid  | deptype | objfile
-------+---------+------------+----------+------------+------------+---------+---------
 16073 |    2615 | 2147484575 |        0 |       1260 | 2147484573 | o       |
 16073 |    2615 | 2147484025 |        0 |       1260 | 2147484573 | a       |
(2 rows)

这里由于dependType不同，因此有两条记录，一个代表权限依赖(a)，一个代表自身是一个对象的owner。

我们获取到classid之后，这个代表依赖当前用户的对象的记录表的id，那么我们去pg_class表中找到这个依赖即可：

postgres=# select relname,relacl from pg_class where oid = 2615;
   relname    |     relacl
--------------+----------------
 pg_namespace | {=r/d00467397}
(1 row)

OK，通过看到记录表是pg_namespace，那么就可以确认依赖用户的是一个schema。这里再到pg_namespace中，查上面获取到的objid，就知道了具体的对象

postgres=# select nspname,nspacl from pg_namespace where oid in (2147484575,2147484025);
 nspname |                         nspacl
---------+---------------------------------------------------------
 test2   |
 grantor | {grantor=UC/grantor,grantor=LP/grantor,test2=U/grantor}
(2 rows)

这里看到有两个schema，一个是用户同名的schema，一个是刚才赋权的grantor，赋权的处理掉之后，用户即可删除。

postgres=# revoke usage on schema grantor from test2;
REVOKE
postgres=# drop user test2;
DROP USER

文章来源:华为云社区