Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

使用适用于 PostgreSQL 的 Amazon Aurora 委派扩展支持

使用适用于 PostgreSQL 的 Amazon Aurora 委派扩展支持，您可以将扩展管理委派给其他用户，而且不必让该用户成为 rds_superuser。通过这种委派扩展支持，将创建一个名为 rds_extension 的新角色，您必须将其分配给用户才能管理其它扩展。此角色可以创建、更新和删除扩展。

您可以通过在 rds.allowed_extensions 参数中列出扩展，指定可以在 Aurora PostgreSQL 数据库实例上安装哪些扩展。有关更多信息，请参阅将 PostgreSQL 扩展与 Amazon RDS for PostgreSQL 结合使用。

您可以通过 rds.allowed_delegated_extensions 参数来限制具有 rds_extension 角色的用户可以管理的可用扩展列表。

委派扩展支持在以下版本中可用：

为用户开启委派扩展支持

必须执行以下操作才能为用户启用委派扩展支持：

在适用于 PostgreSQL 的 Aurora 委派扩展支持中使用的配置

关闭对委派扩展的支持

部分关闭

委派用户无法创建新的扩展，但仍然可以更新现有的扩展。

完全关闭

撤销用户的 rds_extension 角色会将该用户恢复为标准权限。用户无法再创建、更新或删除扩展。

postgres => revoke rds_extension from user_name;

事件触发器示例

如果您希望允许具有 rds_extension 的委派用户使用扩展，而此类扩展要求对通过扩展创建过程所创建的对象设置权限，则可以自定义以下事件触发器示例，并仅添加您希望委派用户有权访问其全部功能的扩展。此事件触发器可以在 template1（默认模板）上创建，因此所有从 template1 创建的数据库都将具有该事件触发器。当委派用户安装扩展时，此触发器将自动授予对扩展创建的对象的所有权。

CREATE OR REPLACE FUNCTION create_ext()

  RETURNS event_trigger AS $$

DECLARE

  schemaname TEXT;
  databaseowner TEXT;

  r RECORD;

BEGIN

  IF tg_tag = 'CREATE EXTENSION' and current_user != 'rds_superuser' THEN
    RAISE NOTICE 'SECURITY INVOKER';
    RAISE NOTICE 'user: %', current_user;
    FOR r IN SELECT * FROM pg_event_trigger_ddl_commands()
    LOOP
        CONTINUE WHEN r.command_tag != 'CREATE EXTENSION' OR r.object_type != 'extension';

        schemaname = (
            SELECT n.nspname
            FROM pg_catalog.pg_extension AS e
            INNER JOIN pg_catalog.pg_namespace AS n
            ON e.extnamespace = n.oid
            WHERE e.oid = r.objid
        );

        databaseowner = (
            SELECT pg_catalog.pg_get_userbyid(d.datdba)
            FROM pg_catalog.pg_database d
            WHERE d.datname = current_database()
        );
        RAISE NOTICE 'Record for event trigger %, objid: %,tag: %, current_user: %, schema: %, database_owenr: %', r.object_identity, r.objid, tg_tag, current_user, schemaname, databaseowner;
        IF r.object_identity = 'address_standardizer_data_us' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_gaz TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_lex TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_rules TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'dict_int' THEN
            EXECUTE format('ALTER TEXT SEARCH DICTIONARY %I.intdict OWNER TO %I;', schemaname, databaseowner);
        ELSIF r.object_identity = 'pg_partman' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config_sub TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.custom_time_partitions TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'postgis_topology' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON ALL TABLES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE ON SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
        END IF;
    END LOOP;
  END IF;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

CREATE EVENT TRIGGER log_create_ext ON ddl_command_end EXECUTE PROCEDURE create_ext();

            

使用 Amazon Aurora 委派扩展支持的优势

通过使用适用于 PostgreSQL 的 Amazon Aurora 委派扩展支持，您可以安全地将扩展管理委派给没有 rds_superuser 角色的用户。该功能具有以下优势：

适用于 PostgreSQL 的 Aurora 委派扩展支持的限制

某些扩展所需的权限

要创建、使用或更新以下扩展，委派用户应具有对以下函数、表和架构的必要权限。

安全考虑因素

请记住，具有 rds_extension 角色的用户将能够管理他们拥有连接权限的所有数据库上的扩展。如果打算让委派用户管理单个数据库上的扩展，那么一个好的做法是撤销每个数据库上的公有权限，然后向委派用户显式授予对该特定数据库的连接权限。

有几个扩展可以允许用户访问多个数据库中的信息。在向 rds.allowed_delegated_extensions 添加这些扩展之前，请确保您授予 rds_extension 的用户具有跨数据库功能。例如，postgres_fdw 和 dblink 提供在同一实例或远程实例上跨数据库进行查询的功能。log_fdw 读取 postgres 引擎日志文件，这些文件适用于实例中的所有数据库，可能包含来自多个数据库的慢速查询或错误消息。pg_cron 允许在数据库实例上运行计划的后台任务，并且可以将任务配置为在不同的数据库中运行。

已禁用删除扩展级联

具有 rds_extension 角色的用户使用级联选项删除扩展的能力由 rds.delegated_extension_allow_drop_cascade 参数控制。默认情况下，将 rds-delegated_extension_allow_drop_cascade 设置为 off。这意味着不允许具有 rds_extension 角色的用户使用级联选项删除扩展，如以下查询所示。

DROP EXTENSION CASCADE;

因为这将自动删除依赖于扩展的对象，进而删除依赖于这些对象的所有对象。尝试使用级联选项将会导致错误。

要授予该能力，rds.delegated_extension_allow_drop_cascade 参数应设置为 on。

更改 rds.delegated_extension_allow_drop_cascade 动态参数不需要重启数据库。您可以在以下级别之一执行此操作：

可以使用委派扩展支持添加的扩展示例