PostgreSQL13の信頼できる拡張機能の概要

John Smithは、postgres拡張機能hstoreをwooliedbに追加したいと考えています。これは、彼のアプリケーションコードがそれに依存しているためです。それをやってみましょう。

 psql -U johnsmith -d wooliesdb

wooliesdb=>CREATE EXTENSION hstore;

ERROR:  permission denied to create extension "hstore"

HINT:  Must be superuser to create this extension.

エラーは、拡張機能がスーパーユーザー、つまりpostgresによってのみ作成できることを明確に示しています。 hstoreのような拡張機能は、その使用法に関してセキュリティ上の懸念はありませんが、データベースにこの拡張機能を作成できるのはスーパーユーザーだけです。

データベースがjohnsmithによって所有または作成された場合はどうなりますか？それも試すことができます。次のスニペットでは、postgresスーパーユーザーがjohnsmithに、自分で作成するまったく新しいデータベースを作成して遊んでもらうことを許可しています。

$ psql -U postgres 

postgres=# ALTER ROLE johnsmith CREATEDB;

postgres=# \q

$ psql -U johnsmith -d wooliesdb

wooliesdb=>CREATE DATABASE jsDB;

wooliesdb=>\c jsDB;

You are now connected to database "jsDB" as user "johnsmith".

jsDB=>CREATE EXTENSION hstore;

ERROR:  permission denied to create extension "hstore"

HINT:  Must be superuser to create this extension.

ああ！違いはありません。 johnsmithはjsDBの所有者ですが、データベースに関連する単純な拡張機能をインストールすることはできません。

しかし、それはすべてPostgreSQLサーバー12（およびそれ以下）にあります。 PostgreSQLバージョン13で変更される予定です。このブログを書いている時点で-PostgreSQLバージョン13はBeta2ステージにあり、チームはすでにリリースアナウンスを書いています。 Beta2バイナリで「信頼できる拡張機能」を試してみます。

PostgreSQL13が登場

信頼できる拡張機能（少なくともcontribモジュールまたは事前にパッケージ化された拡張機能）の概念で異なる動作を期待します。 PostgreSQL12で行ったのと同じコマンドについて、PostgreSQL13での動作を確認しましょう。

$ psql -U johnsmith -d wooliesdb

wooliesdb=>CREATE EXTENSION hstore;

ERROR:  permission denied to create extension "hstore"

HINT:  Must have CREATE privilege on current database to create this extension.

これはほとんど同じです。つまり、johnsmithはまだ拡張機能を作成できません。しかし、それでも微妙な違いがあります。CREATE特権が欠落していることを示唆するHINTです。 2番目のコマンドセットはそれを処理する必要があります：

$ psql -U postgres 

postgres=# ALTER ROLE johnsmith CREATEDB;

postgres=# \q

$ psql -U johnsmith -d wooliesdb

wooliesdb=>CREATE DATABASE jsDB;

wooliesdb=>\c jsDB;

You are now connected to database "jsDB" as user "johnsmith".

jsDB=>CREATE EXTENSION hstore;

jsDB=>SELECT extname from pg_extension;

 extname

---------

 plpgsql

 hstore

(2 rows)

postgres=# GRANT CREATE ON DATABASE postgres FOR johnsmith;

jsDB=> create extension file_fdw;

ERROR:  permission denied to create extension "file_fdw"

HINT:  Must be superuser to create this extension.

$ cd /usr/pgsql-13/share/extension 

$ grep -l trusted hstore.control file_fdw.control;

hstore.control