[10.4] Bonnes pratiques rôles et privilèges

Bonjour,

J'ai une connaissance des BdD Oracle mais je débute en postgreSQL.
Dans mon entreprise, les développeurs souhaitent utiliser des bases PostgreSQL.
En recette on m'a demandé de créer une nouvelle base avec un schéma autre que public. Potentiellement d'autres schémas suivront pour cette Bdd. Et je serais amener à créer d'autres BdD au besoin.
Comment organisez vous les rôles autours du compte postgres, niveau BdD, niveau schema ?
Avez vous une organisation type que vous déclinez pour chaque nouvelle base avec éventuellement des exemples de scripts ?
Comment gérer vous le développeur qui doit avoir des droits de création de tables par exemple, rôle spécifique ?
Créer vous un rôle unique qui servira à accéder via l'application ?
Comment intervient la notion de Owner dans tout cela ?

Merci de vos retours, c'est un peu flou pour moi.

Citation:

---

Envoyé par sellfe

Bonjour,

J'ai une connaissance des BdD Oracle mais je débute en postgreSQL.
Dans mon entreprise, les développeurs souhaitent utiliser des bases PostgreSQL.
En recette on m'a demandé de créer une nouvelle base avec un schéma autre que public.

---

C'est bien et même essentiel car public pose des problèmes de sécurité; Bannissez totalement l'utilisation de ce schéma.
A lire :
http://blog-postgresql.verite.pro/20...2018-1058.html
https://wiki.postgresql.org/wiki/A_G...ur_Search_Path

Citation:

---

Potentiellement d'autres schémas suivront pour cette Bdd. Et je serais amener à créer d'autres BdD au besoin.
Comment organisez vous les rôles autours du compte postgres, niveau BdD, niveau schema ?

---

Contrairement à Oracle, PostGreSQL est capable de définir des privilèges au niveau des schémas SQL. C'est plutôt une bonne pratique car dans ce cas on peut faire une sécurité "générique". Combiné à des rôles cela permet d'être efficace et rapide.
De plus vous pouvez changer vos objets de schéma par un simple ALTER <type_objet> nom_objet SET SCHEMA nom_schema_cible; alors que dans oracle, il faut faire un export/import !

Citation:

---

Avez vous une organisation type que vous déclinez pour chaque nouvelle base avec éventuellement des exemples de scripts ?

---

Oui, trop complexe à donner ici.

Citation:

---

Comment gérer vous le développeur qui doit avoir des droits de création de tables par exemple, rôle spécifique ?
Créer vous un rôle unique qui servira à accéder via l'application ?

---

Non, un utilisateur SQL par personne, histoire de pouvoir faire de l'audit, car hélas les faibles moyens de faire de l'audit dont incapable de remonter l'adresse ip, le nom de la machine client ou le compte système du client...

Citation:

---

Comment intervient la notion de Owner dans tout cela ?

---

Il n'y a pas la stupide erreur qu'a fait oracle entre Owner et schéma SQL qui impose qu'un schéma ait un propriétaire de même nom !...

Citation:

---

Merci de vos retours, c'est un peu flou pour moi.

---

A +