如何通过pg-ldap-sync让Postgres将AD组角色授予其组成员？

pg-ldap-sync默认仅会将AD中的用户和组同步为Postgres角色，但不会自动完成组角色到用户角色的权限授予。要实现这一需求，可参考以下几种可行方案：

方案1：利用pg-ldap-sync的post-sync钩子自动执行授权 #

pg-ldap-sync支持在同步流程完成后运行自定义SQL脚本，你可以通过这个钩子实现自动授权：

1. 编写授权SQL脚本
   创建一个SQL文件（比如grant_ad_group_roles.sql），内容如下（需根据你的AD角色命名规则调整）：

   DO $$
   DECLARE
     user_role RECORD;
     group_role RECORD;
   BEGIN
     -- 假设AD组角色以'ad_'为前缀，用户角色直接使用AD用户名
     -- 遍历所有AD组角色
     FOR group_role IN SELECT rolname FROM pg_roles WHERE rolname LIKE 'ad_%' LOOP
       -- 找到该AD组对应的所有用户角色（示例：通过同步用户表关联）
       FOR user_role IN SELECT username FROM ldap_sync_users WHERE member_of = replace(group_role.rolname, 'ad_', '') LOOP
         -- 执行授权
         EXECUTE format('GRANT %I TO %I', group_role.rolname, user_role.username);
       END LOOP;
     END LOOP;
   END $$;
   

   注：如果没有专门的同步用户表，也可以通过解析Postgres角色的rolcomment字段（存储LDAP的memberOf信息）来关联用户和组。

2. 修改pg-ldap-sync配置文件
   在你的pg_ldap_sync.yaml配置中添加post_sync_sql项，指向上述SQL文件：

   post_sync_sql: /usr/local/bin/grant_ad_group_roles.sql
   

   确保pg-ldap-sync运行的Postgres用户拥有执行GRANT的权限（通常需要超级用户或带CREATEROLE权限的角色）。

方案2：手动/定时执行授权脚本 #

如果不想修改pg-ldap-sync配置，可以在每次同步完成后手动运行上述SQL脚本，或者通过cron等定时工具定期执行，确保权限同步。

方案3：调整pg-ldap-sync的映射规则 #

检查pg-ldap-sync的配置项，部分版本支持在用户映射中直接指定要授予的组角色。例如，在user_mappings中添加grant_roles字段，将AD组对应的Postgres角色自动授予用户：

user_mappings:
  - ldap_attr: samAccountName
    pg_attr: rolname
  - ldap_attr: memberOf
    pg_attr: grant_roles
    transform: "regex_replace(value, 'CN=([^,]+),.*', 'ad_\\1')"

这个配置会将用户的memberOf属性转换为Postgres组角色名，并自动完成授权操作。

内容的提问来源于stack exchange，提问作者Orlando Colamatteo