Der Benutzer admin

Wenn Sie eine neue Einrichtung in IBM Cloud bereitstellen, erhalten Sie automatisch einen admin-Benutzer für den Zugriff und die Verwaltung von PostgreSQL. Sobald Sie das Administratorkennwort festgelegt haben, können Sie sich damit mit Ihrer Einrichtung verbinden.

Wenn admin eine Ressource in einer Datenbank erstellt, z. B. eine Tabelle, ist admin Eigentümer dieses Objekts. Ressourcen, die von admin erstellt werden, sind für andere Benutzer nicht zugänglich, es sei denn, Sie erteilen ihnen ausdrücklich die entsprechenden Rechte.

Der größte Unterschied zwischen dem Benutzer admin und allen anderen Benutzern, die Sie zu Ihrer Bereitstellung hinzufügen, ist die pg_monitor und pg_signal_backend rollen. Die Rolle pg_monitor stellt eine Gruppe von Berechtigungen bereit, die den Benutzer mit Administratorberechtigung für die Überwachung des Datenbankservers qualifiziert. Die Rolle pg_signal_backend ermöglicht es dem Administratorbenutzer, Signale zu senden, um Abfragen und Verbindungen abzubrechen, die von anderen Benutzern eingeleitet wurden. Er kann keine Signale an Prozesse senden, deren Eigner Superuser sind.

Sie können auch den Benutzer admin verwenden, um diese beiden Rollen anderen Benutzern in Ihrer Einrichtung zuzuweisen.

Um anderen Datenbankbenutzern die Möglichkeit zu geben, Abfragen abzubrechen, gewähren Sie die Rolle pg_signal_backend des Benutzers admin. Verwenden Sie einen Befehl wie den folgenden:

GRANT pg_signal_backend TO joe;

Damit der Benutzer joe Back-Ends abbrechen kann, erteilen Sie allen Benutzern mit der Rolle ibm-cloud-base-user die Berechtigung pg_signal_backend mit einem Befehl wie dem folgenden:

GRANT pg_signal_backend TO "ibm-cloud-base-user";

Diese Berechtigung ermöglicht es dem Benutzer oder den Benutzern, alle Verbindungen zur Datenbank zu beenden.

Verwenden Sie zum Einrichten eines bestimmten Überwachungsbenutzers mary einen Befehl wie den folgenden:

GRANT pg_monitor TO mary;

Erteilen Sie allen Benutzern mit der Rolle ibm-cloud-base-user mit einem Befehl wie dem folgenden pg_signal_backend :

GRANT pg_monitor TO "ibm-cloud-base-user";

ibmcloud cdb user-password example-deployment admin <NEW_PASSWORD>

curl -X PATCH `https://api.{region}.databases.cloud.ibm.com/v5/ibm/deployments/{id}/users/admin` \
-H `Authorization: Bearer <>` \
-H `Content-Type: application/json` \
-d `{"password":"newrootpasswordsupersecure21"}` \

Serviceberechtigungsnachweis-Benutzer

Benutzer, die Sie über die Anzeige Serviceberechtigungsnachweise erstellen, sind Mitglieder von ibm-cloud-base-user. Sie können sich anmelden, Benutzer erstellen und Datenbanken erstellen.

Wenn ein Benutzer in einer Gruppe eine Ressource in einer Datenbank erstellt, wie z. B. eine Tabelle, haben alle Benutzer, die sich in derselben Gruppe befinden, Zugriff auf diese Ressource. Ressourcen, die von einem beliebigen Benutzer in ibm-cloud-base-user erstellt werden, sind für die anderen Benutzer in ibm-cloud-base-user, einschließlich des Administratorbenutzers, zugänglich.

Benutzer mit Leseberechtigung

ibm-cloud-base-user-ro verwaltet die Berechtigungen für Benutzer, die für den Zugriff auf Nur-Lese-Replikate erstellt werden. Weitere Informationen finden Sie unter Konfiguration von schreibgeschützten Repliken.

Der Benutzer repl

Der Benutzer repl verfügt über Replikationsberechtigungen und wird verwendet, wenn Sie das Plug-in wal2json für Ihre Bereitstellung aktivieren. Legen Sie bei der Aktivierung von wal2json das Kennwort für den Benutzer repl fest, damit das Plug-in wal2json es verwenden kann.

Weitere ibm-Benutzer

Wenn Sie den Befehl \du mit Ihrem admin-Konto ausführen, werden Sie feststellen, dass es Benutzer mit den Namen ibm, ibm-cloud-base-user, ibm-replication und ibm-rewind gibt.

ibm-cloud-base-user wird als Vorlage für die Verwaltung von Gruppenrollen für andere Benutzer verwendet. Dieser Benutzer wird zum Verwalten der über die CLI und die API erstellten Benutzer und zur Ermöglichung der Integration mit der Benutzererstellung über Serviceberechtigungsnachweise in IBM Cloud verwendet. Ein Benutzer, der Member von ibm-cloud-base-user ist, übernimmt die Erstellungsrolle und erstellt Datenbankattribute aus ibm-cloud-base-user. Der ibm-cloud-base-user-Benutzer kann sich nicht anmelden.

Das Konto ibm ist der einzige Superuser für Ihre Bereitstellung. Ein Superuser-Konto steht Ihnen bei uns nicht zur Verfügung. Dieser Benutzer ist ein interner Verwaltungsaccount, der die Stabilität Ihrer Implementierung verwaltet.

Mit psql erstellte Benutzer

Sie können die Erstellung von Benutzern über IBM Cloud vollständig umgehen und Benutzer direkt in PostgreSQL mit psql erstellen. Dies ermöglicht die Nutzung der PostgreSQL's Rollen- und Benutzerverwaltung. Für die in psql erstellten Benutzer/Rollen müssen alle Berechtigungen manuell festgelegt werden, ebenso wie die Berechtigungen für die Objekte, die sie erstellen.

Benutzer, die direkt in PostgreSQL erstellt werden, werden nicht unter Serviceberechtigungsnachweise angezeigt, aber Sie können hinzufügen, wenn Sie möchten.

Beachten Sie, dass diese Benutzer nicht in IAM-Steuerelemente integriert sind, auch wenn sie zu Serviceberechtigungsnachweise hinzugefügt wurden.

Zusätzliche Benutzer und Verbindungszeichenfolgen

Der Zugriff auf Ihre Databases for PostgreSQL Bereitstellung ist nicht auf den Benutzer admin beschränkt. Fügen Sie Benutzer in der Benutzeroberfläche unter Service-Anmeldeinformationen, mit dem Cloud Databases CLI-Plug-in oder der Cloud Databases API hinzu.

Alle Benutzer in Ihrer Bereitstellung können die Verbindungszeichenfolgen verwenden, einschließlich Verbindungszeichenfolgen für öffentliche oder private Endpunkte.

Wenn Sie einen Benutzer erstellen, werden ihm bestimmte Datenbankrollen und -berechtigungen zugeordnet. Zu diesen Berechtigungen gehören die Möglichkeit, sich anzumelden, Datenbanken zu erstellen und andere Benutzer zu erstellen.

ibmcloud cdb user-create example-deployment <NEW_USER_NAME> <NEW_PASSWORD>

curl -X POST 'https://api.{region}.databases.cloud.ibm.com/v4/ibm/deployments/{id}/users' \
-H "Authorization: Bearer $APIKEY" \
-H "Content-Type: application/json" \
-d '{"username":"jane_smith", "password":"newsupersecurepassword"}'