Privilégios de controle de acesso granular

Nesta página, descrevemos os privilégios que você pode conceder a um papel de banco de dados para controle de acesso detalhado.

Para saber mais sobre papéis de bancos de dados e controle de acesso refinado, consulte Sobre controle de acesso refinado.

A tabela a seguir mostra os privilégios de controle de acesso refinados e os objetos de banco de dados em que eles podem ser concedidos.

SELECT INSERT ATUALIZAR EXCLUIR EXECUTE
Tabela ✓ ✓ ✓ ✓
Coluna ✓ ✓ ✓
View ✓
Fluxo de alterações ✓
Função de leitura do fluxo de alterações ✓
Sequência ✓ ✓
Modelo ✓

As seções a seguir fornecem detalhes sobre cada privilégio.

SELECT

Permite que o papel leia ou consulte uma tabela, visualização, fluxo de alterações, sequência ou modelo.

  • Se uma lista de colunas for especificada para uma tabela, o privilégio será válido apenas nessas colunas. Se nenhuma lista de colunas for especificada, o privilégio será válido em todas as colunas da tabela, incluindo as colunas adicionadas posteriormente. Uma lista de colunas não é permitida para uma visualização.

  • O Spanner oferece suporte às visualizações de direitos do invocador e às visualizações de direitos do definidor. Para mais informações, consulte Sobre as vistas.

    Se você criar uma visualização com direitos de invocação, para consultá-la, o papel ou usuário do banco de dados precisará do privilégio SELECT na visualização e também do privilégio SELECT nos objetos subjacentes referenciados na visualização. Por exemplo, suponha que a visualização SingerNames seja criada na tabela Singers.

    CREATE VIEW SingerNames SQL SECURITY INVOKER AS
  SELECT Singers.SingerId, Singers.FirstName, Singers.LastName FROM Singers;

    Suponha que o papel do banco de dados myRole execute a consulta SELECT * FROM SingerNames. O papel precisa ter o privilégio SELECT na visualização e o privilégio SELECT nas três colunas referenciadas ou em toda a tabela Singers.

    Se você criar uma visualização com direitos de definidor, para consultar a visualização, o papel ou usuário do banco de dados só precisará do privilégio SELECT. Por exemplo, suponha que a visualização AlbumsBudget seja criada na tabela Albums.

    CREATE VIEW AlbumsBudget SQL SECURITY DEFINER AS
  SELECT Albums.Id, Albums.AlbumTitle, MarketingBudget FROM Albums;

    Suponha que o papel do banco de dados Analyst execute a consulta SELECT * FROM AlbumsBudget. O papel só precisa do privilégio SELECT na visualização. Ele não precisa do privilégio SELECT nas três colunas referenciadas ou na tabela Albums.

  • Depois de conceder SELECT em um subconjunto de colunas para uma tabela, o usuário FGAC não pode mais usar SELECT * nessa tabela. As consultas dessa tabela precisam nomear todas as colunas a serem incluídas.

  • SELECT concedido em uma coluna gerada não concede SELECT nas colunas base de base.

  • Para tabelas intercaladas, SELECT concedido na tabela pai não se propaga para a tabela filha.

  • Ao conceder SELECT em um fluxo de alterações, você também precisa conceder EXECUTE na função com valor de tabela desse fluxo. Para saber mais, consulte EXECUTAR.

  • Quando SELECT é usado com uma função de agregação em colunas específicas, por exemplo, SUM(col_a), o papel precisa ter o privilégio SELECT nessas colunas. Se a função de agregação não especificar nenhuma coluna, como COUNT(*), o papel precisará ter o privilégio SELECT em pelo menos uma coluna na tabela.

  • Ao usar SELECT com uma sequência, você só pode conferir aquelas que tem privilégios.

Examples

GoogleSQL 

GRANT SELECT ON TABLE employees TO ROLE hr_director;

GRANT SELECT ON TABLE customers, orders, items TO ROLE account_mgr;

GRANT SELECT(name, level, cost_center, location, manager) ON TABLE employees TO ROLE hr_manager;

GRANT SELECT(name, address, phone) ON TABLE employees, contractors TO ROLE hr_rep;

GRANT SELECT ON VIEW orders_view TO ROLE hr_manager;

GRANT SELECT ON CHANGE STREAM ordersChangeStream TO ROLE hr_analyst;

GRANT SELECT ON SEQUENCE sequence_name TO ROLE role_name;

PostgreSQL 

GRANT SELECT ON TABLE employees TO hr_director;

GRANT SELECT ON TABLE customers, orders, items TO account_mgr;

GRANT SELECT(name, level, cost_center, location, manager) ON TABLE employees TO hr_manager;

GRANT SELECT(name, address, phone) ON TABLE employees, contractors TO hr_rep;

GRANT SELECT ON TABLE orders_view TO hr_manager; // orders_view is an invoker rights view

GRANT SELECT ON CHANGE STREAM orders_change_stream TO hr_analyst;

GRANT SELECT ON SEQUENCE sequence_name TO hr_package;

INSERT

Permite que o papel insira linhas nas tabelas especificadas. Se uma lista de colunas for especificada, a permissão será válida apenas nessas colunas. Se nenhuma lista de colunas for especificada, o privilégio será válido em todas as colunas na tabela.

  • Se os nomes das colunas forem especificados, qualquer coluna não incluída receberá o valor padrão na inserção.

  • Não é possível conceder INSERT em colunas geradas.

Examples

GoogleSQL 

GRANT INSERT ON TABLE employees, contractors TO ROLE hr_manager;

GRANT INSERT(name, address, phone) ON TABLE employees TO ROLE hr_rep;

PostgreSQL 

GRANT INSERT ON TABLE employees, contractors TO hr_manager;

GRANT INSERT(name, address, phone) ON TABLE employees TO hr_rep;

UPDATE

Permite que o papel atualize linhas nas tabelas especificadas. As atualizações podem ser restritas a um subconjunto de colunas da tabela. Quando usado com sequências, ele permite que o papel chame a função get-next-sequence-value na sequência.

Além do privilégio UPDATE, o papel precisa do privilégio SELECT em todas as colunas de chave e em todas as colunas consultadas. As colunas consultadas incluem colunas na cláusula WHERE e colunas usadas para calcular os novos valores de colunas atualizadas e colunas geradas.

Não é possível conceder UPDATE em colunas geradas.

Examples

GoogleSQL 

GRANT UPDATE ON TABLE employees, contractors TO ROLE hr_manager;

GRANT UPDATE(name, address, phone) ON TABLE employees TO ROLE hr_rep;

PostgreSQL 

GRANT UPDATE ON TABLE employees, contractors TO hr_manager;

GRANT UPDATE(name, address, phone) ON TABLE employees TO hr_rep;

DELETE

Permite que o papel exclua linhas das tabelas especificadas.

  • DELETE não pode ser concedido no nível da coluna.

  • O papel também precisa de SELECT em todas as colunas de chave e em todas as colunas que possam ser incluídas nas cláusulas de consulta WHERE.

  • Para tabelas intercaladas em bancos de dados de dialetos GoogleSQL, o privilégio DELETE é necessário apenas na tabela pai. Se uma tabela filha especificar ON DELETE CASCADE, as linhas da tabela filha serão excluídas mesmo sem o privilégio DELETE nessa tabela.

Exemplo

GoogleSQL 

GRANT DELETE ON TABLE employees, contractors TO ROLE hr_admin;

PostgreSQL 

GRANT DELETE ON TABLE employees, contractors TO hr_admin;

EXECUTE

Ao conceder SELECT em um fluxo de alterações, você também precisa conceder EXECUTE na função de leitura desse fluxo. Para mais informações, consulte Funções de leitura do fluxo de alterações e sintaxe de consulta.

Quando usado com modelos, isso permite que o papel use o modelo em funções de machine learning.

Exemplo

O exemplo a seguir mostra como conceder EXECUTE na função de leitura para o fluxo de alterações chamado my_change_stream.

GoogleSQL 

GRANT EXECUTE ON TABLE FUNCTION READ_my_change_stream TO ROLE hr_analyst;

PostgreSQL 

GRANT EXECUTE ON FUNCTION spanner.read_json_my_change_stream TO hr_analyst;

A seguir

Veja mais informações em: