VastbaseG100

三权分立

5.2.1默认权限机制和5.2.2管理员两节的描述基于的是Vastbase创建之初的默认情况。从前面的介绍可以看出，默认情况下拥有SYSADMIN属性的系统管理员，具备系统最高权限。

在实际业务管理中，为了避免系统管理员拥有过度集中的权利带来高风险，可以设置三权分立。将系统管理员的部分权限分立给安全管理员和审计管理员，形成系统管理员、安全管理员和审计管理员三权分立。

三权分立后，系统管理员将不再具有CREATEROLE属性（安全管理员）和AUDITADMIN属性（审计管理员）能力。即不再拥有创建角色和用户的权限，并不再拥有查看和维护数据库审计日志的权限。关于CREATEROLE属性和AUDITADMIN属性的更多信息请参考12.19.44CREATE ROLE。

三权分立后，系统管理员只会对自己作为所有者的对象有权限。

初始用户的权限不受三权分立设置影响。因此建议仅将此初始用户作为DBA管理用途，而非业务应用。

三权分立的设置办法为：将参数enable_separation_of_duty设置为on。

三权分立前的权限详情及三权分立后的权限变化，请分别参见表5-9和表5-10。

表5-9 默认的用户权限

表5-10 三权分立较非三权分立权限变化说明

在数据库初始化阶段，新增三个默认用户：管理员vbadmin、审计员vbaudit和安全员vbsso。三个默认用户的关键属性（pg_authid数据字典）如下表：

管理员权限

三种管理员的权限和范围请分别参见表5-11、5-12、5-13和表5-14。

表5-11 审计员权限列表

其他数据字典的权限与普通用户相同。

表5-12 安全员权限列表

其他数据字典权限与普通用户相同。上述表格中列举的权限仅安全员才具备。

表5-13 系统管理员权限列表

表5-14 共有权限列表

Vastbase可以通过ALTER ROLE/USER命令修改用户属性。在启用三权分立功能情况下，不允许修改其他类型用户的属性，不允许修改用户属性使之同时具备安全员、审计员和管理员中两种或以上权限。例如不允许管理员修改安全员的用户属性。

新增安全员属性，相关语法示例如下：

CREATE USER user1 PASSWORD 'user1@abcd' ssoadmin;

以上SQL语句创建了一个名称为user1的安全员。

不允许同时指定sysadmin、auditadmin和ssoadmin中两种或以上属性，若用户属性为auditadmin或者ssoadmin，则不允许指定createrole和createdb属性。

例如以下创建用户语句是不合法的：

CREATE USER user1 PASSWORD 'user1@abcd' ssoadmin createrole;

导入导出数据

• pg_dump

  启用三权分立功能情况下，只允许具有系统管理员权限的用户（rolsystemadmin为true）导出数据库。

• pg_restore

  启用三权分立功能情况下，只允许具有系统管理员权限的用户（rolsystemadmin为true）导入数据库。

• copy语句

  copy语句在一个文件和表之间导入导出数据。

  启用三权分立功能情况下，只允许具有审计策略管理权限的用户导入导出审计系统表，安全员导入导出安全系统表，其他表只有系统管理员有权导入导出。