如何通过Ansible为postgres_exporter用户授予PostgreSQL权限（不使用postgresql_query模块）

我来帮你梳理一下针对这个需求的解决方案——既要给postgres_exporter用户授予所需权限用于Grafana指标采集，又要避开不支持check diff模式的postgresql_query模块，同时解决默认角色授权的问题。

1. 将用户加入默认角色pg_read_all_settings #

要把现有用户加入PostgreSQL的默认角色（比如pg_read_all_settings），不需要创建新用户，用community.postgresql.postgresql_user模块就可以实现，而且这个模块原生支持check diff模式，完全符合你的要求。

示例任务如下：

- name: 将postgres_exporter加入pg_read_all_settings角色
  community.postgresql.postgresql_user:
    name: "{{ postgres_exporter_user }}"
    roles: pg_read_all_settings
    state: present
    login_user: postgres
    login_unix_socket: /var/run/postgresql/  # 根据你的PostgreSQL socket路径调整
    db: "{{ db_name }}"
    port: "{{ pg_port }}"

这个任务会确保postgres_exporter用户始终是pg_read_all_settings角色的成员，check模式下会清晰显示是否有变更，不会直接执行修改操作。

2. 函数与表空间的权限配置（优化你的现有任务） #

你写的三个postgresql_privs任务逻辑是完全正确的，不过我们可以通过循环来减少代码重复，让playbook更简洁易维护：

合并函数权限任务

- name: 为postgres_exporter授予日志目录与WAL目录函数的执行权限
  community.postgresql.postgresql_privs:
    db: "{{ db_name }}"
    port: "{{ pg_port }}"
    privs: EXECUTE
    type: function
    obj: "{{ item }}"
    roles: "{{ postgres_exporter_user }}"
    login_user: postgres
    login_unix_socket: /var/run/postgresql/
  loop:
    - pg_ls_logdir()
    - pg_ls_waldir()

表空间权限任务（保留并完善）

- name: 为postgres_exporter授予pg_global表空间的CREATE权限
  community.postgresql.postgresql_privs:
    db: "{{ db_name }}"
    port: "{{ pg_port }}"
    privs: CREATE
    type: tablespace
    objs: pg_global
    roles: "{{ postgres_exporter_user }}"
    login_user: postgres
    login_unix_socket: /var/run/postgresql/

完整Playbook示例 #

把所有任务整合到一起，加上变量定义，方便后续复用和调整：

- name: 配置postgres_exporter的PostgreSQL权限
  hosts: your_postgres_servers
  vars:
    db_name: postgres
    pg_port: 5432
    postgres_exporter_user: postgres_exporter
  tasks:
    - name: 将postgres_exporter加入pg_read_all_settings角色
      community.postgresql.postgresql_user:
        name: "{{ postgres_exporter_user }}"
        roles: pg_read_all_settings
        state: present
        login_user: postgres
        login_unix_socket: /var/run/postgresql/
        db: "{{ db_name }}"
        port: "{{ pg_port }}"

    - name: 为postgres_exporter授予日志目录与WAL目录函数的执行权限
      community.postgresql.postgresql_privs:
        db: "{{ db_name }}"
        port: "{{ pg_port }}"
        privs: EXECUTE
        type: function
        obj: "{{ item }}"
        roles: "{{ postgres_exporter_user }}"
        login_user: postgres
        login_unix_socket: /var/run/postgresql/
      loop:
        - pg_ls_logdir()
        - pg_ls_waldir()

    - name: 为postgres_exporter授予pg_global表空间的CREATE权限
      community.postgresql.postgresql_privs:
        db: "{{ db_name }}"
        port: "{{ pg_port }}"
        privs: CREATE
        type: tablespace
        objs: pg_global
        roles: "{{ postgres_exporter_user }}"
        login_user: postgres
        login_unix_socket: /var/run/postgresql/

关键说明 #

• 所有任务都使用了login_user: postgres和login_unix_socket参数，替代了手动sudo -iu postgres切换用户的操作，Ansible会自动通过Unix socket连接PostgreSQL，更符合Ansible的最佳实践。
• postgresql_user模块的roles参数专门用于将指定用户添加到目标角色中，state: present确保用户始终保持该角色成员身份。
• 循环任务减少了代码冗余，后续如果需要添加更多函数权限，只需在loop列表中新增条目即可。

备注：内容来源于stack exchange，提问作者a1dude