HashiCorp Vault v1.15.2动态PostgreSQL凭据角色撤销问题求助

背景 #

我们基于HC Vault v1.15.2版本，使用PostgreSQL插件调研动态数据库凭据功能，当前采用的撤销语句如下：

REASSIGN OWNED BY "{{name}}" TO postgres;
DROP ROLE IF EXISTS "{{name}}";

测试中发现的异常模式 #

模式一 #

PostgreSQL日志中出现REASSIGN OWNED操作的角色ID，但该角色不在用户列表中，且无对应的DROP ROLE操作日志。例如日志显示执行了REASSIGN OWNED BY "v-kubernet-db-app-XcLvJhE3JMusXMbYcPQn-1708078911" TO postgres，但该角色不存在于用户列表。

模式二 #

用户列表中的角色ID在执行DROP ROLE时失败，报错：

role "v-kubernet-db-app-lfV4xdqM7bN6uTm3wIdh-1708083414" cannot be dropped because some objects depend on it

即角色因存在对象依赖无法删除。

问题原因分析 #

模式一原因 #

• 角色已被提前删除：可能在Vault执行撤销流程前，该角色已通过手动操作、其他自动化脚本等渠道被删除，导致Vault执行REASSIGN OWNED时角色不存在，PostgreSQL会记录该操作但不会执行后续的DROP ROLE（DROP ROLE IF EXISTS不会报错也不会产生日志）。
• Vault重试逻辑触发：网络波动或Vault自身重试机制可能重复触发撤销流程，第一次执行已成功删除角色，后续执行就会出现角色不存在的情况。

模式二原因 #

REASSIGN OWNED仅对当前连接的数据库生效，无法覆盖跨数据库的对象，也无法处理全局对象（如角色成员关系、数据库所有权、外部数据包装器等）。这些未转移的依赖对象会导致DROP ROLE执行失败。

最优撤销方案（不影响应用连接） #

核心改进思路 #

1. 遍历所有数据库执行所有权转移，覆盖跨库对象；
2. 处理全局依赖（如角色成员关系、数据库所有权）；
3. 最后安全删除角色，确保无残留依赖。

适配Vault的示例撤销语句 #

-- 1. 遍历所有非系统库，转移角色拥有的对象所有权
DO $$
DECLARE
    dbname text;
BEGIN
    FOR dbname IN SELECT datname FROM pg_database WHERE datname NOT IN ('postgres', 'template0', 'template1')
    LOOP
        EXECUTE 'REASSIGN OWNED BY "{{name}}" TO postgres;' || ' IN DATABASE ' || quote_ident(dbname);
    END LOOP;
END $$;

-- 2. 转移角色拥有的数据库所有权
UPDATE pg_database 
SET datdba = (SELECT oid FROM pg_roles WHERE rolname = 'postgres') 
WHERE datdba = (SELECT oid FROM pg_roles WHERE rolname = '{{name}}');

-- 3. 撤销角色的所有成员关系
DO $$
DECLARE
    rec record;
BEGIN
    FOR rec IN SELECT roleid FROM pg_auth_members WHERE member = (SELECT oid FROM pg_roles WHERE rolname = '{{name}}')
    LOOP
        EXECUTE 'REVOKE ' || quote_ident(rolname) || ' FROM ' || quote_ident('{{name}}') 
        FROM pg_roles WHERE oid = rec.roleid;
    END LOOP;
END $$;

-- 4. 最终删除角色
DROP ROLE IF EXISTS "{{name}}";

注意事项 #

• 执行撤销操作的数据库用户需拥有SUPERUSER权限，否则无法处理全局对象和跨库所有权转移；
• 现有应用连接不会因DROP ROLE中断，但会阻止新连接建立，符合动态凭据的生命周期管理需求。

内容的提问来源于stack exchange，提问作者nitesh solanki