Redshift动态列掩码：基于数据库组实现的计算节点查询问题

Redshift计算节点确实不支持直接在查询中使用pg_group的数组类型字段和部分系统函数，要实现基于数据库组的动态掩码，可以通过以下方式绕开限制：

1. 预同步用户-组映射到自定义表 #

因为系统视图在计算节点的查询中存在兼容性问题，我们可以在leader节点（需管理员权限）定期将用户和组的关系同步到普通Redshift表中，这样掩码函数就能正常访问这些数据：

-- 先创建存储用户-组映射的表（仅需执行一次）
CREATE TABLE IF NOT EXISTS test.user_group_mapping (
    usename VARCHAR(128) NOT NULL,
    groname VARCHAR(128) NOT NULL,
    PRIMARY KEY (usename, groname)
);

-- 在leader节点执行，同步最新的用户-组关系
TRUNCATE TABLE test.user_group_mapping;
INSERT INTO test.user_group_mapping (usename, groname)
SELECT u.usename, g.groname
FROM pg_user u
JOIN pg_group g ON u.usesysid = ANY(g.grolist);

可以通过Redshift调度器、Lambda或其他定时工具定期执行同步语句，保证映射数据和系统实际用户组一致。

2. 修改掩码逻辑的查询语句 #

用自定义的user_group_mapping表替代系统视图，调整后的查询可以在计算节点正常运行：

SELECT 
    ug.usename,
    ug.groname,
    c."permission"
FROM 
    test.user_group_mapping ug
INNER JOIN test.sensitive_control c 
    ON c."group" = ug.groname 
WHERE 
    ug.usename = current_user;

3. 关键注意事项 #

• 权限控制：确保掩码函数所属的数据库用户拥有user_group_mapping和sensitive_control表的只读权限，同时限制普通用户修改user_group_mapping表。
• 同步频率：根据集群内用户/组的变更频率调整同步周期，比如每日同步一次，或者在用户/组变更后手动触发同步。
• IAM用户适配：如果使用IAM角色登录Redshift，current_user会对应到IAM角色创建的数据库用户，要确保这些用户的组关系也被正确同步。

问题根源说明 #

Redshift的系统目录视图（如pg_user、pg_group）的部分字段（比如pg_group.grolist的整数数组类型）仅在leader节点支持，计算节点的查询引擎不兼容这类数据类型和相关系统函数，因此无法直接在掩码函数中引用这些系统视图，必须通过同步到普通表的方式解决兼容性问题。

内容的提问来源于stack exchange，提问作者SimonB