Vault与AWS RDS Postgres集成：数据库所有权策略咨询

针对你遇到的这个Flyway迁移权限问题，我来分享下Vault和PostgreSQL集成时关于数据库对象所有权的最佳实践，帮你彻底解决这个困扰：

你碰到的问题本质是：Vault动态生成的admin用户是临时且唯一的，每次获取的都是全新的数据库用户账号。第一次迁移时表由当时的动态用户创建，所有权属于那个临时账号；后续用新的动态admin用户执行迁移时，自然没有权限访问不属于自己的表。

1. 用固定角色作为所有对象的所有权主体 #

不要让动态生成的Vault用户直接拥有表、模式等对象，而是把你之前创建的server_admin固定角色作为所有数据库对象的所有者：

• 在Flyway迁移脚本里，创建表时显式指定所有者为server_admin，示例：

  CREATE TABLE IF NOT EXISTS ${schema_name}.users (id SERIAL PRIMARY KEY) AUTHORIZATION server_admin;
  

• 或者在执行迁移前，让动态admin用户切换到server_admin角色：

  SET ROLE server_admin;
  

  这样所有迁移创建的对象都会默认归属于server_admin，而非临时的动态用户。

2. 优化Vault角色的权限继承与授予 #

调整你创建Vault管理角色的creation_statements，让动态生成的admin用户不仅继承server_admin的权限，还能操作所有已存在和未来创建的对象：

vault.write(
    "database/roles/{0}".format(role_name),
    db_name=database_identifier,
    creation_statements='''
        CREATE ROLE "{{name}}" WITH LOGIN INHERIT PASSWORD '{{password}}' IN ROLE server_admin;
        -- 授予现有对象的权限
        GRANT ALL PRIVILEGES ON ALL TABLES IN SCHEMA {schema_name} TO "{{name}}";
        GRANT ALL PRIVILEGES ON ALL SEQUENCES IN SCHEMA {schema_name} TO "{{name}}";
        -- 设置默认权限，确保未来创建的对象也能被访问
        ALTER DEFAULT PRIVILEGES IN SCHEMA {schema_name} GRANT ALL PRIVILEGES ON TABLES TO "{{name}}";
        ALTER DEFAULT PRIVILEGES IN SCHEMA {schema_name} GRANT ALL PRIVILEGES ON SEQUENCES TO "{{name}}";
    '''.format(schema_name=schema_name),
    default_ttl="10000h"
)

3. 固化模式所有权与默认权限 #

你已经在步骤2b里将模式${schema_name}的所有者设置为server_admin，这一步非常关键，要保持这个配置。同时可以补充设置模式的默认权限，确保所有继承server_admin的用户都能正常操作：

ALTER DEFAULT PRIVILEGES IN SCHEMA ${schema_name} FOR ROLE server_admin 
GRANT ALL PRIVILEGES ON TABLES TO server_admin;

ALTER DEFAULT PRIVILEGES IN SCHEMA ${schema_name} FOR ROLE server_admin 
GRANT ALL PRIVILEGES ON SEQUENCES TO server_admin;

4. Flyway迁移的配套调整 #

• 在Flyway的初始脚本或者迁移前的初始化逻辑里，先执行SET ROLE server_admin;，确保所有迁移操作都是以固定角色的身份执行，避免临时用户持有对象所有权。
• 对于已经存在的、由旧动态用户创建的表，可以手动修改所有权来修复权限问题：

  ALTER TABLE ${schema_name}.your_existing_table OWNER TO server_admin;
  

1. 优先修改Vault管理角色的creation_statements，加入权限授予和默认权限配置，确保新的动态用户能访问所有对象。
2. 调整Flyway迁移流程，加入SET ROLE server_admin;的前置步骤，从根源上避免临时用户持有所有权。
3. 修复现有表的所有权，确保后续迁移能正常执行。

内容的提问来源于stack exchange，提问作者Daniel Scott