CREATE ROW POLICY

Создает политики доступа к строкам, т.е. фильтры, которые определяют, какие строки пользователь может читать из таблицы.

Синтаксис:

Секция USING

Секция USING указывает условие для фильтрации строк. Пользователь может видеть строку, если это условие, вычисленное для строки, дает ненулевой результат.

Секция TO

В секции TO перечисляются пользователи и роли, для которых должна действовать политика. Например, CREATE ROW POLICY ... TO accountant, john@localhost.

Ключевым словом ALL обозначаются все пользователи, включая текущего. Ключевые слова ALL EXCEPT позволяют исключить пользователей из списка всех пользователей. Например, CREATE ROW POLICY ... TO ALL EXCEPT accountant, john@localhost

Примечание

Если для таблицы не задано ни одной политики доступа к строкам, то любой пользователь может выполнить команду SELECT и получить все строки таблицы. Если определить хотя бы одну политику для таблицы, до доступ к строкам будет управляться этими политиками, причем для всех пользователей (даже для тех, для кого политики не определялись). Например, следующая политика

CREATE ROW POLICY pol1 ON mydb.table1 USING b=1 TO mira, peter

запретит пользователям mira и peter видеть строки с b != 1, и еще запретит всем остальным пользователям (например, пользователю paul) видеть какие-либо строки вообще из таблицы mydb.table1.

Если это нежелательно, такое поведение можно исправить, определив дополнительную политику:

CREATE ROW POLICY pol2 ON mydb.table1 USING 1 TO ALL EXCEPT mira, peter

Секция AS

Может быть одновременно активно более одной политики для одной и той же таблицы и одного и того же пользователя. Поэтому нам нужен способ комбинировать политики.

По умолчанию политики комбинируются с использованием логического оператора OR. Например, политики:

разрешат пользователю с именем peter видеть строки, для которых будет верно b=1 или c=2.

Секция AS указывает, как политики должны комбинироваться с другими политиками. Политики могут быть или разрешительными (PERMISSIVE), или ограничительными (RESTRICTIVE). По умолчанию политики создаются разрешительными (PERMISSIVE); такие политики комбинируются с использованием логического оператора OR.

Ограничительные (RESTRICTIVE) политики комбинируются с использованием логического оператора AND.

Общая формула выглядит так:

Например, политики

разрешат пользователю с именем peter видеть только те строки, для которых будет одновременно b=1 и c=2.

Секция ON CLUSTER

Секция ON CLUSTER позволяет создавать политики на кластере, см. Распределенные DDL запросы.

Примеры

CREATE ROW POLICY filter1 ON mydb.mytable USING a<1000 TO accountant, john@localhost

CREATE ROW POLICY filter2 ON mydb.mytable USING a<1000 AND b=5 TO ALL EXCEPT mira

CREATE ROW POLICY filter3 ON mydb.mytable USING 1 TO admin