使用Cloud Shell连接Cloud SQL Postgres时SELECT权限拒绝问题排查

核心权限区分 #

当你通过Cloud Shell使用Cloud SQL原生用户账户连接PostgreSQL实例时：

• IAM账户角色仅负责控制你能否从Cloud Shell发起连接到Cloud SQL实例的权限（比如需要Cloud SQL Client角色）。既然你已经能连接并执行查询，说明IAM权限没有问题。
• Cloud SQL用户账户的数据库内部权限才是控制你能否访问表、执行SELECT等操作的关键。

排查步骤（针对你的cloudsqlsuperuser权限问题） #

1. 确认当前连接的用户
   执行以下命令，确保你确实是用拥有cloudsqlsuperuser权限的用户登录的：

   SELECT current_user;
   

2. 验证用户的超级权限状态
   检查该用户是否真的拥有超级用户权限：

   SELECT rolname, rolsuper, rolinherit FROM pg_roles WHERE rolname = current_user;
   

   确认rolsuper为t（true），且rolinherit为t（确保继承角色的权限）。

3. 检查表的权限设置
   查看目标表的权限分配，确认当前用户是否有SELECT权限：

   SELECT table_name, grantee, privilege_type 
   FROM information_schema.table_privileges 
   WHERE table_name = '你的表名';
   

   注意：超级用户默认拥有所有表的权限，但如果存在手动REVOKE操作，可能会导致权限丢失。

4. 检查Schema权限
   如果表不在默认的public schema下，确认当前用户对该schema有USAGE权限：

   SELECT nspname, has_schema_privilege(current_user, nspname, 'usage') 
   FROM pg_namespace 
   WHERE nspname = '表所在的schema名';
   

解决方法 #

如果排查后发现确实是权限缺失，即使是超级用户，也可以通过以下命令恢复权限：

• 授予单表SELECT权限：

  GRANT SELECT ON 你的表名 TO current_user;
  

• 授予某个schema下所有表的SELECT权限：

  GRANT SELECT ON ALL TABLES IN SCHEMA 你的schema名 TO current_user;
  

内容的提问来源于stack exchange，提问作者user20719