使用gcloud sql export导出数据库时遭遇权限拒绝问题求助

可能的原因 #

• GCP后台静默维护操作：尽管你没有手动执行任何变更，GCP可能对Cloud SQL实例进行了后台维护（比如Postgres小版本升级、权限系统优化），这类操作可能重置了内置cloudsqlimportexport用户的现有数据库权限，且不会在用户可见的操作日志中留下记录。
• 默认权限模板更新：新建数据库能正常导出，说明新库的默认权限仍会授予cloudsqlimportexport，但GCP可能更新了数据库创建的权限模板，且未回溯应用到已存在的数据库，导致旧库的权限被移除。
• 权限继承失效：如果数据库内存在非public schema，或表的所有者曾被批量变更（哪怕是后台操作），可能导致cloudsqlimportexport的权限继承链断裂，但这种情况通常不会影响所有数据库，优先级稍低。

批量修复方案 #

针对大量数据库和schema的场景，手动授权效率极低，可通过以下脚本批量处理：

1. 仅处理public schema的情况 #

# 登录到Postgres实例，执行以下shell脚本（需确保psql已配置好连接）
psql -U postgres -t -c "SELECT datname FROM pg_database WHERE datistemplate = false AND datname NOT IN ('postgres', 'template0', 'template1');" | while read db; do
  # 给当前数据库的public schema下所有表授权SELECT
  psql -U postgres -d "$db" -c "GRANT SELECT ON ALL TABLES IN SCHEMA public TO cloudsqlimportexport;"
  # 设置默认权限，确保后续新建的表自动获得权限
  psql -U postgres -d "$db" -c "ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO cloudsqlimportexport;"
done

2. 包含非public schema的情况 #

如果有自定义schema，需要遍历所有非系统schema：

psql -U postgres -t -c "SELECT datname FROM pg_database WHERE datistemplate = false AND datname NOT IN ('postgres', 'template0', 'template1');" | while read db; do
  # 获取当前数据库下所有非系统schema
  psql -U postgres -d "$db" -t -c "SELECT nspname FROM pg_namespace WHERE nspname NOT LIKE 'pg_%' AND nspname != 'information_schema';" | while read schema; do
    psql -U postgres -d "$db" -c "GRANT SELECT ON ALL TABLES IN SCHEMA $schema TO cloudsqlimportexport;"
    psql -U postgres -d "$db" -c "ALTER DEFAULT PRIVILEGES IN SCHEMA $schema GRANT SELECT ON TABLES TO cloudsqlimportexport;"
  done
done

注意事项 #

• 执行前先在测试克隆实例验证脚本，避免影响生产环境。
• ALTER DEFAULT PRIVILEGES是关键，可防止后续新建表再次出现权限缺失问题。
• 克隆实例仍有问题，说明权限丢失发生在克隆源快照生成之前，后台操作的影响已被快照记录，因此克隆无法恢复正常状态。

内容的提问来源于stack exchange，提问作者flibustenet