Rollen-Attribute

Übersicht aller Attribute

Setzen kann man sie alle bei CREATE ROLE, ändern später mit ALTER ROLE:

CREATE ROLE app_owner
    CREATEDB CREATEROLE
    CONNECTION LIMIT 5;

ALTER ROLE app_owner SET search_path = app, public;
ALTER ROLE app_owner VALID UNTIL '2027-01-01';
ALTER ROLE app_owner WITH NOCREATEROLE;  -- entzieht das Recht

LOGIN / NOLOGIN

LOGIN macht eine Rolle zu einem „User“. Eine NOLOGIN-Rolle ist ein reiner Container — nützlich für Gruppen-Patterns, bei denen mehrere Service-Accounts gemeinsam Rechte erben.

Wer versucht, sich mit einer NOLOGIN-Rolle anzumelden, bekommt:

psql: error: connection to server on socket "..." failed:
  FATAL:  role "devs" is not permitted to log in

CREATE USER setzt LOGIN implizit; CREATE ROLE ohne Argument nicht.

INHERIT / NOINHERIT — der subtile Unterschied

INHERIT (Default) bedeutet: wenn alice Mitglied der Rolle devs ist, kann sie deren Rechte automatisch nutzen — ohne SET ROLE. Eine Query als alice greift auf alles zu, was devs darf.

NOINHERIT zwingt explizites Umschalten:

CREATE ROLE alice WITH LOGIN NOINHERIT PASSWORD 'changeme';
GRANT devs TO alice;

-- Als alice angemeldet:
SELECT * FROM orders;
-- ERROR: permission denied for table orders

SET ROLE devs;
SELECT * FROM orders;
-- OK

NOINHERIT ist sinnvoll, wenn eine Rolle gefährliche Rechte erst dann nutzen soll, wenn der Mensch bewusst umschaltet — Audit-freundlicher, aber unbequem. In den meisten Anwendungen lässt man INHERIT (Default) stehen und arbeitet ohne SET ROLE.

SUPERUSER

SUPERUSER schaltet alle Berechtigungschecks ab — die Rolle darf alles, immer. Viele Bequemlichkeiten der Postgres-Welt setzen einen Superuser voraus:

• CREATE EXTENSION (für die meisten Extensions)
• direktes Schreiben in System-Kataloge
• pg_read_server_files-/COPY FROM '/path/...' mit absoluten Pfaden
• ALTER SYSTEM für Cluster-weite Konfiguration

Faustregel: so wenige Superuser wie möglich. Anwendungen sollten nie als Superuser laufen. Selbst Migrations-Tools brauchen meist nur CREATEDB oder gezielte Privilegien.

In Cloud-Postgres (RDS, Cloud SQL, Azure …) hast du keinen echten Superuser, sondern eine privilegierte Rolle (rds_superuser, cloudsqlsuperuser, …) — manche Operationen fehlen dort entsprechend.

CREATEDB und CREATEROLE

Beide klingen harmlos, sind es aber nur bedingt:

• CREATEDB erlaubt CREATE DATABASE. Nützlich für Migrations-Tools, die eine Test-DB anlegen wollen, ohne Superuser zu sein.
• CREATEROLE erlaubt das Anlegen, Ändern und Löschen anderer Rollen — inklusive Mitgliedschaften. Eine Rolle mit CREATEROLE darf andere Rollen ändern und so indirekt eskalieren. Bis PG 15 konnte sie sogar Superuser-Rechte vergeben (mit Tricks); seit PG 16 ist das eingeschränkt: CREATEROLE darf andere Rollen nur dann ändern, wenn sie als Admin der Ziel-Rolle eingetragen ist.

REPLICATION

Damit eine Rolle Streaming-Replikation aufbauen kann (für Read-Replicas oder logische Replikation auf Cluster-Ebene), braucht sie das REPLICATION-Attribut und einen passenden Eintrag in pg_hba.conf:

host  replication  replicator  10.0.0.0/24  scram-sha-256

SUPERUSER impliziert REPLICATION automatisch — aber dedizierte Replikations-Rollen sollten eben nicht Superuser sein.

BYPASSRLS

Row-Level-Security-Policies (CREATE POLICY …) gelten für alle Rollen — außer Superuser und Rollen mit BYPASSRLS. Letzteres ist gedacht für Audit- oder Backup-Tools, die alles sehen müssen, ohne RLS-Filterung.

CONNECTION LIMIT

Begrenzt die parallel offenen Verbindungen pro Rolle. Default ist -1 (unbegrenzt). Praktisch, wenn man verhindern will, dass eine einzelne fehlerhafte Anwendung den ganzen Connection-Pool des Clusters blockiert.

ALTER ROLE app_user CONNECTION LIMIT 20;

Auch auf Datenbank-Ebene möglich: ALTER DATABASE myapp CONNECTION LIMIT 50;.

VALID UNTIL — Passwort-Ablauf

VALID UNTIL '2027-01-01' setzt ein Ablaufdatum für die Passwort-Authentifizierung. Nach diesem Zeitpunkt schlägt die Anmeldung fehl. Wichtig: das wirkt nur bei passwortbasierter Auth — peer, trust oder cert ignorieren das Attribut.

Weiterführende Ressourcen

Externe Quellen

• Role Attributes – PostgreSQL Documentation
• CREATE ROLE – PostgreSQL Documentation
• ALTER ROLE – PostgreSQL Documentation
• Predefined Roles – PostgreSQL Documentation
• Release Notes 16: CREATEROLE-Restrictions

Verwandte Artikel

• Rollen und Privilegien — Übersicht
• Gruppen-Rollen und Inheritance
• Predefined Roles
• Benutzer-Passwort ändern