如何在AWS RDS PostgreSQL中限制对pg_catalog表的访问？

在RDS PostgreSQL环境中，rds_superuser角色并非真正的PostgreSQL超级用户，AWS锁定了pg_catalog等系统对象的权限修改能力——这就是你执行REVOKE命令时收到警告的核心原因：你没有权限修改这些系统对象的默认权限配置。

以下是几种可落地的替代方案：

1. 用行级安全策略（RLS）限制可见数据 #

虽然无法直接撤销SELECT权限，但可以通过RLS精准控制用户能看到的系统表行：

• 先启用目标系统表的RLS：

  ALTER TABLE pg_catalog.pg_namespace ENABLE ROW LEVEL SECURITY;
  

• 创建自定义策略，比如仅允许用户查看自身有权访问的命名空间：

  CREATE POLICY restrict_pg_namespace ON pg_catalog.pg_namespace
  FOR SELECT USING (
    nspname = current_schema() 
    OR nspname IN ('pg_catalog', 'information_schema')
  );
  

  你可以根据业务需求调整策略逻辑，比如仅开放特定业务相关的命名空间。

2. 切断用户对public角色的默认权限继承 #

通过取消用户对public角色的继承，避免其获取默认的系统表访问权限：

• 创建新用户时直接禁用继承：

  CREATE USER your_user WITH PASSWORD 'your_password' NOINHERIT;
  

• 若用户已存在，修改其继承属性：

  ALTER USER your_user NOINHERIT;
  

• 仅授予用户业务所需的Schema权限，例如：

  GRANT USAGE, SELECT ON SCHEMA your_business_schema TO your_user;
  

3. 自定义权限角色实现精细化控制 #

创建仅包含必要系统表权限的自定义角色，替代public角色的默认权限范围：

• 创建受限权限角色：

  CREATE ROLE limited_system_access;
  

• 仅授予该角色业务必需的系统表权限（按需添加）：

  GRANT SELECT ON pg_catalog.pg_tables TO limited_system_access;
  GRANT SELECT ON pg_catalog.pg_columns TO limited_system_access;
  

• 将目标用户加入该自定义角色：

  GRANT limited_system_access TO your_user;
  

内容的提问来源于stack exchange，提问作者Selva