Roles del sistema de control de acceso detallado

En esta página, se definen las características, las restricciones y el uso previsto de los tres roles del sistema predefinidos que proporciona el control de acceso detallado para cada base de datos. Cada rol del sistema tiene un conjunto diferente de privilegios, que no se pueden revocar. Esta información se aplica a las bases de datos con dialecto de GoogleSQL y PostgreSQL.

Rol del sistema public

  • Todos los usuarios con control de acceso detallado tienen membresía de Identity and Access Management (IAM) en public de forma predeterminada.

  • Todos los roles de base de datos heredan los privilegios de este rol.

  • Inicialmente, public no tiene privilegios, pero puedes otorgárselos. Si otorgas un privilegio a public, estará disponible para todos los roles de la base de datos, incluidos los que se creen después.

Rol del sistema spanner_info_reader

  • Este rol tiene el privilegio SELECT en las vistas INFORMATION_SCHEMA para las bases de datos con dialecto de GoogleSQL y information_schema para las bases de datos con dialecto de PostgreSQL.

  • No puedes otorgar ningún otro privilegio a spanner_info_reader.

  • Otorga la membresía en este rol a cualquier rol de base de datos que necesite tener acceso de lectura sin filtrar a las vistas INFORMATION_SCHEMA (bases de datos de dialecto de GoogleSQL) o las vistas information_schema (bases de datos de dialecto de PostgreSQL).

Rol del sistema spanner_sys_reader

  • Este rol tiene el privilegio SELECT en las tablas SPANNER_SYS.

  • No puedes otorgar ningún otro privilegio a spanner_sys_reader.

  • Otorga la membresía en este rol a cualquier rol de base de datos que deba tener acceso de lectura al esquema SPANNER_SYS.

Restricciones de los roles del sistema

  • No puedes borrar un rol del sistema con una sentencia DROP ROLE.

  • Los roles del sistema no pueden ser miembros de otros roles de base de datos. Es decir, la siguiente declaración de GoogleSQL no es válida:

    GRANT ROLE pii_access TO ROLE spanner_info_reader;

  • No puedes otorgar membresía en el rol public a tus roles de base de datos. Por ejemplo, la siguiente sentencia de GoogleSQL también es no válida:

    GRANT ROLE public TO ROLE pii_access;

    Sin embargo, puedes otorgar membresía en los roles spanner_info_reader y spanner_sys_reader. Por ejemplo, las siguientes son declaraciones válidas.

    GoogleSQL 

      GRANT ROLE spanner_info_reader TO ROLE pii_access;
  GRANT ROLE spanner_sys_reader TO ROLE pii_access;
  ```

    PostgreSQL 

    GRANT spanner_info_reader TO pii_access;
GRANT spanner_sys_reader TO pii_access;

¿Qué sigue?