PostgreSQL: odmowa dostępu dla relacji

Jestem trochę zdezorientowany, jeśli chodzi o ustawianie uprawnień w PostgreSQL.

Mam następujące role:

                             List of roles
 Role name |                   Attributes                   | Member of 
-----------+------------------------------------------------+-----------
 admin     | Superuser, Create role, Create DB, Replication | {}
 meltemi   | Create role, Create DB                         | {rails}
 rails     | Create DB, Cannot login                        | {}
 myapp     |                                                | {rails}

i bazy danych:

                                    List of databases
        Name         | Owner  | Encoding |   Collate   |    Ctype    | Access privileges 
---------------------+--------+----------+-------------+-------------+-------------------
 myapp_production    | rails  | UTF8     | en_US.UTF-8 | en_US.UTF-8 | 
 ...

użytkownik myappnie ma problemu z zapytaniem do myapp_productionbazy danych o dodawanie i usuwanie rekordów. Chciałbym meltemirównież móc wysłać zapytanie do tej samej bazy danych. Stworzyłem rolę, railsktóra jest właścicielem bazy danych, i stworzyłem zarówno członków, jak meltemii myappczłonków rails. Ale wciąż dostaję permission denied for relationbłędy. Meltemimoże wyświetlić schemat, ale nie może wykonać zapytania do bazy danych.

Właśnie zauważyłem (z \dtpoleceniem), że myappjest właścicielem tabel:

             List of relations
 Schema |       Name        | Type  | Owner 
--------+-------------------+-------+-------
 public | events            | table | myapp
 public | schema_migrations | table | myapp
 ...
 public | users             | table | myapp
 ...

Tabele zostały utworzone za pomocą ORM (migracje ActiveRecord w Railsach).

Wiem, że autoryzacja jest bardzo różna w PostgreSQL (w przeciwieństwie do MySQL i innych, z których korzystałem). Jak powinienem skonfigurować bazę danych, aby różni użytkownicy mieli do niej dostęp? Niektóre powinny być w stanie CRUD, ale inne mogą tylko czytać itp.

Dziękuję za wszelką pomoc. Przepraszam, wiem, że to bardzo podstawowe pytanie, ale sam nie znalazłem odpowiedzi.

Właśnie o tym napisałem w mojej odpowiedzi na Przyznawanie praw do bazy danych postgresql innemu użytkownikowi na ServerFault.

Zasadniczo najlepszym rozwiązaniem, gdy masz jednego użytkownika i chcesz przyznać innym użytkownikom takie same prawa, jest przekształcenie tego użytkownika w grupę, utworzenie nowego użytkownika o takiej samej nazwie jak oryginalny, który jest członkiem grupy, i przyznaj tę grupę również innym użytkownikom.

Więc w twoim przypadku railszmienia się jego nazwa myapp_users, a następnie tworzysz nową rolę logowania (użytkownika) o nazwie railsi GRANT myapp_users TO rails. Teraz ty GRANT myapp_users TO meltemi. Zarówno nowe railskonto, jak i meltemiużytkownik mają teraz prawa do starego railskonta.

Aby uzyskać bardziej szczegółową kontrolę, zwykle zalecam unikanie przekazywania użytkownikom tabel lub ich grup codziennego logowania. Daj im dostęp za pośrednictwem NOINHERITgrupy, do której muszą jawnie SET GROUP, lub lepiej, użyć zupełnie innego użytkownika do operacji uprzywilejowanych, takich jak DDL i GRANTs. Niestety nie działa to z Railsami, ponieważ Rails lubi stosować migracje, kiedy tylko ma na to ochotę, a AFAIK nie daje możliwości określenia innego, bardziej uprzywilejowanego użytkownika do uruchamiania migracji jako.