データベースサービスアカウントの管理

データベースサービスアカウントは、認証用に個別のパスワードまたは証明書を持つユーザーのようなシンプルなものにできます。より高度な利用者は、SET ROLE を使用して権限の範囲を動的に変更できるアカウントを設定することで、ログアウトしたりコンテンツを再読み込みしたりすることなく、プロファイルをすばやく切り替えたい場合があります。

SET ROLE を使用すると、セッション中のサービスアカウントの権限範囲を動的に絞り込めます。これは、有効化されたロールによって付与された権限だけにユーザーの実効権限を制限することで実現されます。この方法には、いくつかの利点があります。

• サービスアカウントには複数のロールを割り当てられますが、特定のクエリに必要なロールだけを有効化できます。
• サービスアカウントが侵害された場合でも、攻撃者が利用できるのは有効なロールの権限のみです。
• タスクごとに個別の認証情報を用意しなくても、1 つのアカウントでロールを切り替えることでさまざまなタスクを実行できます。
• 個々のユーザーを更新する代わりに 1 つのロールを変更するだけで、サービスアカウントの一群全体の権限を更新できます。
• クエリ実行時にどのロールが有効だったかをログで追跡できるため、セキュリティ監査の文脈がより明確になります。

実際には、次のように行います。

1. 許可された範囲 (read_only、maintenance など) を表すロールを設計します
2. それらをサービスアカウントに付与します
3. 接続時に SET ROLE (または role パラメーター) で有効なロールを選択し、そのセッションで実行できる操作を制限します

CREATE ROLE read_only_role;
GRANT SELECT ON db1.* TO read_only_role;

CREATE ROLE maint_role;
GRANT SELECT, INSERT, ALTER on db1.* TO maint_role;

GRANT read_only_role, maint_role TO service_user;

-- このセッションでは読み取り専用として動作
SET ROLE read_only_role;

-- 付与されたすべてのロールを使用（フルアクセス）
SET ROLE ALL;

SET ROLE NONE;

SET ROLE read_only_role, maint_role;

SET DEFAULT ROLE read_only_role TO service_user;

SET DEFAULT ROLE ALL EXCEPT maint_role TO service_user;

curl "https://host:8123?user=service_user&password=...&role=read_only_role" \
 --data-binary "SELECT * FROM db1.table1"