Quando um objeto é criado, é atribuído um dono ao mesmo. Normalmente, o dono do objeto é a função de banco de dados (identificador de autorização/role) que executou o comando de criação. Para a maioria dos tipos de objeto, o estado inicial é de apenas o dono (ou um superusuário) poder fazer alguma coisa com o objeto. Para permitir que outros o usem, devem ser concedidos privilégios.

Existem diferentes tipos de privilégios: SELECT, INSERT, UPDATE, DELETE, TRUNCATE, REFERENCES, TRIGGER, CREATE, CONNECT, TEMPORARY, EXECUTE e USAGE. Os privilégios aplicáveis a um determinado objeto variam dependendo do tipo do objeto (tabela, função, etc.). Mais detalhes sobre os significados desses privilégios são mostrados abaixo. As próximas seções e capítulos também mostram como esses privilégios são usados.

O privilégio de modificar ou destruir um objeto é inerente ao dono do objeto, e não pode ser concedido ou revogado. (No entanto, assim como todos os privilégios, esse direito pode ser herdado por membros da função de banco de dados (role) dona do objeto; veja Participação em função de banco de dados.)

Um objeto pode ser atribuído a um novo dono usando o comando ALTER do tipo apropriado para o objeto, por exemplo

ALTER TABLE nome_da_tabela OWNER TO novo_dono;

Os superusuários sempre podem fazer isso; as roles comuns só podem fazer isso se forem tanto a dona corrente do objeto (ou membro da role dona), quanto membro da nova role dona.

Para conceder privilégios é usado o comando GRANT. Por exemplo, se joe for uma role existente e contas for uma tabela existente, o privilégio para atualizar a tabela pode ser concedido usando:

GRANT UPDATE ON contas TO joe;

Escrever ALL no lugar de um privilégio específico concede todos os privilégios relevantes para o tipo de objeto.

O nome especial de role PUBLIC pode ser usado para conceder um privilégio para todas as roles do sistema. Além disso, podem ser configuradas roles de “grupo” para ajudar a gerenciar privilégios quando houver muitos usuários no banco de dados — para obter mais detalhes veja Funções de banco de dados (roles).

Para revogar um privilégio concedido anteriormente, é usado o comando REVOKE, como no exemplo abaixo:

REVOKE ALL ON contas FROM PUBLIC;

Normalmente, somente o dono do objeto (ou um superusuário) pode conceder ou revogar privilégios para um objeto. Entretanto, é possível conceder um privilégio “com a opção de concessão” (with grant option), que dá a quem recebe o direito de conceder o privilégio para terceiros. Se mais tarde essa opção de concessão for revogada, então todos os que receberam o privilégio a partir desse usuário (diretamente, ou através de uma cadeia de concessões), perderão esse privilégio. Para obter mais detalhes consulte as páginas de referência dos comandos GRANT e REVOKE.

O dono do objeto pode optar por revogar seus próprios privilégios comuns, como, por exemplo, tornar uma tabela somente de leitura para si e para os outros. Mas os donos são sempre tratados como detentores de todas as opções de concessão, para que sempre possam conceder novamente seus próprios privilégios.

Os privilégios disponíveis são:

Os privilégios exigidos por outros comandos estão listados na página de referência do respectivo comando.

Por padrão, o PostgreSQL concede privilégios para PUBLIC em alguns tipos de objeto, quando esses objetos são criados. Nenhum privilégio é concedido para PUBLIC por padrão em tabelas, colunas de tabela, sequências, empacotadores de dados estrangeiros, servidores estrangeiros, objetos grandes, esquemas ou espaços de tabela. Para outros tipos de objeto, os privilégios padrão concedidos a PUBLIC são os seguintes: CONNECT e TEMPORARY (criar tabelas temporárias) para bancos de dados; EXECUTE para funções e procedimentos; e USAGE para idiomas e tipos de dados (incluindo domínios). O dono do objeto pode, é claro, revogar (REVOKE) os privilégios padrão e os expressamente concedidos. (Para segurança máxima, deve ser incluído o comando REVOKE na mesma transação que cria o objeto; com isso não haverá uma janela na qual outro usuário possa usar o objeto.) Além disso, essas configurações de privilégio padrão podem ser modificadas usando o comando ALTER DEFAULT PRIVILEGES.

A Tabela 5.1 mostra as abreviaturas de uma letra usadas para esses tipos de privilégio nos valores de ACL (Lista de Controle de Acesso). Você verá essas letras na saída dos comandos psql listados abaixo, ou ao examinar as colunas ACL dos catálogos do sistema.

A Tabela 5.2 resume os privilégios disponíveis para cada tipo de objeto SQL, usando as abreviaturas mostradas acima. Também mostra o comando psql que pode ser usado para examinar as configurações de privilégio para cada tipo de objeto.

Os privilégios concedidos a um determinado objeto são exibidos como uma lista de entradas aclitem, onde cada aclitem descreve as permissões de um favorecido concedidas por um determinado concedente. Por exemplo, calvin=r*w/hobbes especifica que a função de banco de dados (role) calvin tem o privilégio SELECT (r) com opção de concessão (*), assim como o privilégio não concedível UPDATE (w), ambos concedidos pela função de banco de dados hobbes. Se calvin também tiver alguns privilégios no mesmo objeto concedidos por outro concedente, eles vão aparecer como uma entrada aclitem separada. Um campo de favorecido vazio em um aclitem significa PUBLIC.

Como exemplo, suponha que a usuária miriam crie a tabela minha_tabela e execute:

GRANT SELECT ON minha_tabela TO PUBLIC;
GRANT SELECT, UPDATE, INSERT ON minha_tabela TO admin;
GRANT SELECT (col1), UPDATE (col1) ON minha_tabela TO miriam_rw;

Então o comando \dp do psql vai mostrar:

miriam=> \dp minha_tabela

                                    Access privileges
 Schema |     Name     | Type  |   Access privileges   |   Column privileges   | Policies
--------+--------------+-------+-----------------------+-----------------------+----------
 public | minha_tabela | table | miriam=arwdDxt/miriam+| col1:                +|
        |              |       | =r/miriam            +|   miriam_rw=rw/miriam |
        |              |       | admin=arw/miriam      |                       |
(1 linha)

Se a coluna “Privilégios de acesso” estiver vazia para um determinado objeto, isso significa que o objeto tem privilégios padrão (ou seja, sua entrada de privilégios no catálogo do sistema é nula). Os privilégios padrão sempre incluem todos os privilégios do dono, podendo incluir alguns privilégios para PUBLIC, dependendo do tipo de objeto, conforme explicado acima. O primeiro comando GRANT ou REVOKE em um objeto instanciará os privilégios padrão (produzindo, por exemplo, miriam=arwdDxt/miriam), e depois os modificará pela solicitação específica. Da mesma forma, as entradas são mostradas em “Privilégios de coluna” apenas para as colunas com privilégios diferentes do padrão. (Nota: nesse contexto, “privilégios padrão” sempre significa os privilégios padrão incorporados para o tipo do objeto. Um objeto cujos privilégios foram afetados pelo comando ALTER DEFAULT PRIVILEGES sempre será mostrado com uma entrada de privilégio explícita que inclui os efeitos do ALTER.)

Note que as opções de concessão implícitas do dono não são marcadas na exibição de privilégios de acesso. Um * aparecerá somente quando as opções de concessão tiverem sido concedidas explicitamente a alguém.