PostgreSQL授予CREATEROLE后创建角色仍提示权限被拒

PostgreSQL中CREATEROLE属于角色级特殊属性，不支持通过角色成员关系继承：

• 只有直接被标记CREATEROLE属性的用户/角色本身，才默认拥有创建角色的权限
• 你的操作中仅为admin_role配置了CREATEROLE属性，再将admin_role授予admin_user时，admin_user仅能继承admin_role持有的对象级权限（比如之前授予的库级CONNECT、CREATE权限），无法获得CREATEROLE特殊属性，因此执行创建角色操作会触发权限报错。
• 注意：该继承限制与角色的INHERIT/NOINHERIT配置无关，即使角色默认开启INHERIT，也无法继承CREATEROLE、SUPERUSER、CREATEDB、REPLICATION这类特殊管理属性。

可根据实际权限管控需求二选一：

方案1：直接为目标用户配置CREATEROLE属性（常规场景推荐） #

使用高权限admin账号登录数据库后，直接为admin_user添加CREATEROLE属性：

-- 高权限admin账号下执行
ALTER USER admin_user CREATEROLE;

执行完成后重新使用admin_user登录，即可正常执行CREATE ROLE操作。

可通过以下命令验证属性是否生效：

-- 元命令查看所有角色属性
\du
-- 或通过系统表查询当前用户的CREATEROLE权限状态，返回t代表已生效
SELECT rolcreaterole FROM pg_roles WHERE rolname = current_user;

方案2：操作前临时切换到带CREATEROLE属性的角色（最小权限场景适用） #

如果不想直接为admin_user开放长期CREATEROLE权限，可在登录后先切换到admin_role身份再执行创建操作：

-- admin_user登录后先切换角色身份
SET ROLE admin_role;
-- 执行角色创建，此时可正常执行
CREATE ROLE new_role;
-- 操作完成后切回原用户身份
RESET ROLE;

注意：该方案下创建出的新角色所有者为admin_role，而非admin_user。

内容的提问来源于stack exchange，提问作者Esben Eickhardt