K8s配置Superset：创建PostgreSQL只读用户遇权限问题求助

核心思路 #

Superset需要读写自身元数据库（存储数据源、仪表盘、用户等配置），但要限制DROP、TRUNCATE等高风险操作，不能按纯只读用户配置，需精准分配必要权限并禁用危险操作。

分步操作 #

1. 创建受限用户

CREATE USER superset_app WITH PASSWORD 'your_secure_password';
-- 确保用户无超级权限
ALTER USER superset_app WITH NO SUPERUSER NO CREATEDB NO CREATEROLE;

2. 授予数据库连接与Schema使用权限

GRANT CONNECT ON DATABASE superset TO superset_app;
-- 切换到Superset元数据库
\c superset;
GRANT USAGE ON SCHEMA public TO superset_app;

3. 授予表的必要读写权限（禁用DROP/TRUNCATE）

-- 给现有表分配SELECT/INSERT/UPDATE权限（满足Superset元数据写入需求）
GRANT SELECT, INSERT, UPDATE ON ALL TABLES IN SCHEMA public TO superset_app;
-- 明确拒绝DROP、TRUNCATE等高风险操作
REVOKE DROP, TRUNCATE ON ALL TABLES IN SCHEMA public FROM superset_app;
-- 设置默认权限，确保后续新建表自动继承权限规则
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT, INSERT, UPDATE ON TABLES TO superset_app;
ALTER DEFAULT PRIVILEGES IN SCHEMA public REVOKE DROP, TRUNCATE ON TABLES FROM superset_app;

4. 处理序列权限（解决dbs_id_seq这类报错）
   PostgreSQL自增ID依赖序列，需授予序列的使用和读取权限：

-- 给现有序列分配权限
GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO superset_app;
-- 设置默认权限，覆盖后续新建序列
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT USAGE, SELECT ON SEQUENCES TO superset_app;

问题根源说明 #

之前仅给单个序列权限、未设置默认权限，导致Superset新建元数据对象（如新增数据源时的序列）触发权限不足；同时Superset并非纯只读应用，必须保留INSERT/UPDATE权限以维护自身配置，仅需禁用DROP/TRUNCATE这类危险操作即可。

内容的提问来源于stack exchange，提问作者Azar