Create an account - ApsaraDB RDS: Central de Documentação do Alibaba Cloud

Tipos de conta

Tipo de conta	Permissões	Métodos de gerenciamento
Conta privilegiada	Permissões totais em todos os bancos de dados da instância. Gerencia contas padrão e bancos de dados, concede permissões no nível de tabela para contas padrão e desconecta contas padrão. É possível criar várias contas privilegiadas por instância RDS.	Console do ApsaraDB RDS, operações de API
Standard account	Permissões restritas aos bancos de dados autorizados. As operações permitidas incluem SELECT, INSERT, UPDATE, DELETE, TRUNCATE, REFERENCES e TRIGGER. Não cria, gerencia nem desconecta outras contas.	Console do ApsaraDB RDS, operações de API, instruções SQL

Nota

A primeira conta privilegiada criada torna-se proprietária do schema público padrão no banco de dados de sistema template1. Todos os bancos de dados criados com CREATE DATABASE herdam as propriedades de template1, portanto, o proprietário também será a primeira conta privilegiada. O comentário dessa conta começa com "template1 public schema owner."

Pré-requisitos

Antes de começar, verifique se você tem:

Uma instância ApsaraDB RDS for PostgreSQL
Acesso ao console do ApsaraDB RDS

Criar uma conta

Acesse a página Instances. Na barra de navegação superior, selecione a região onde sua instância está localizada. Encontre a instância desejada e clique em seu ID.
No painel de navegação à esquerda, clique em Accounts.
Clique em Create Account.

Configure os seguintes parâmetros.

Parâmetro	Descrição
Database Account	Nome de usuário da conta. Requisitos: 2 a 63 caracteres. Apenas letras minúsculas, dígitos e sublinhados (`_`). Deve começar com uma letra e terminar com uma letra ou dígito. Não pode iniciar com `pg`, coincidir com um nome de conta existente ou conter palavras-chave SQL.
Account Type	Selecione Privileged account ou Standard account. Para gerenciamento granular de permissões (como acesso somente leitura), consulte Manage permissions in an ApsaraDB RDS for PostgreSQL instance.
New Password	8 a 32 caracteres. Deve conter pelo menos três dos seguintes elementos: letras maiúsculas, letras minúsculas, dígitos e caracteres especiais (`! @ # $ % ^ & * ( ) _ + - =`).
Confirm Password	Insira a senha novamente para confirmação.
Description	Descrição da conta.

Clique em OK.

Recomendações de segurança

Siga o princípio do menor privilégio (PoLP): conceda apenas as permissões estritamente necessárias para cada conta. Contas que não precisam gravar dados devem receber apenas acesso de leitura.
Use senhas fortes e altere-as periodicamente.
Ao migrar dados de um banco de dados local para uma instância RDS, crie previamente na instância um banco de dados com o mesmo nome, além de uma conta com o mesmo nome de usuário e senha.

Perguntas frequentes

Como permitir que uma conta padrão acesse vários bancos de dados?

Execute instruções GRANT para conceder acesso à conta em cada banco de dados. Por exemplo, para permitir que user_name se conecte a database_name e crie objetos temporários:

GRANT CONNECT, TEMPORARY, CREATE ON DATABASE database_name TO user_name;

Como conceder acesso ao mesmo banco de dados para múltiplas contas padrão?

O ApsaraDB RDS for PostgreSQL permite criar várias contas padrão com permissões independentes no mesmo banco de dados.

Pelo console: Na página Accounts, crie cada conta padrão e autorize-a no banco de dados alvo com a permissão DBOwner. Essa permissão concede à conta todos os privilégios sobre o banco de dados.
Por instruções SQL: Conecte-se com uma conta privilegiada e execute comandos GRANT para cada conta. Por exemplo, para conceder a user_name permissões de conexão a database_name, criação de tabelas temporárias e criação de objetos:

GRANT CONNECT, TEMPORARY, CREATE ON DATABASE database_name TO user_name;

As permissões atribuídas a cada conta são totalmente independentes entre si.

A criação de uma conta padrão afeta a execução da instância?

Não. Criar uma conta padrão (por exemplo, uma conta somente leitura) altera apenas as permissões GRANT. Essa ação não reinicia a instância nem causa interrupção de service, e as alterações de permissão entram em vigor imediatamente.

Para conceder acesso somente leitura, conecte-se com uma conta privilegiada e execute as seguintes instruções:

GRANT SELECT ON ALL TABLES IN SCHEMA public TO <account_name>;
GRANT USAGE ON SCHEMA public TO <account_name>;

Após a aplicação dessas instruções, a conta poderá executar consultas SELECT. Operações de INSERT, UPDATE e DELETE serão rejeitadas.

Por que uma conta padrão consegue se conectar a outros bancos de dados e visualizar nomes de tabelas?

Por padrão, o PostgreSQL concede o privilégio CONNECT nos bancos de dados ao grupo PUBLIC, que engloba todas as funções. Se esses privilégios padrão permanecerem ativos e os requisitos de conexão forem atendidos, uma conta padrão geralmente conseguirá se conectar a outros bancos de dados de usuários na instância.

Após a conexão, a conta pode visualizar alguns metadados, como nomes de tabelas, por meio dos catálogos do sistema, mesmo sem ter permissão para acessar os dados das tabelas. Esse comportamento faz parte do modelo de privilégios padrão do PostgreSQL e não concede acesso de leitura ou gravação a essas tabelas.

Referência de API

Operação	Descrição
CreateAccount	Cria uma conta para gerenciar bancos de dados em uma instância RDS.