ЛР-2. RBAC: роли, наследование и проверка полномочий

БСУБД · transport_lab · этап 1 — 24.09.2026 · этап 2 — 01.10.2026

1. Что открыть

1. Откройте https://ksoib.ru.
2. Откройте эту инструкцию.
3. Откройте протокол ЛР-2 в соседней вкладке.
4. Подготовьте выданные преподавателем номер стенда sNN, логин sNN_student и пароль.

Пароль в протокол не записывать.

2. Вход в свой стенд

1. На главной странице ksoib.ru найдите карточку своего стенда sNN и нажмите на неё.
2. На странице Adminer выберите PostgreSQL.
3. Введите логин sNN_student и выданный пароль.
4. Укажите базу данных transport_lab.
5. Войдите.
6. После входа откройте пункт «SQL-запрос».

3. Что проверяем

Модель уже настроена: sNN_student → student_reader → CONNECT / USAGE / SELECT.

• sNN_student — персональная LOGIN-роль;
• student_reader — групповая NOLOGIN-роль;
• CONNECT — подключение к БД;
• USAGE — использование схемы;
• SELECT — чтение разрешённых таблиц.

Роли и права самостоятельно не создаём. GRANT/REVOKE не выполняем.

Этап 1 — 24.09.2026

Шаг 1. Убедитесь, что вошли под своей учётной записью

SELECT current_user, session_user, current_database();

Если номер роли не совпадает с вашим стендом — остановитесь и сообщите преподавателю.

Шаг 2. Посмотрите свойства своей роли

SELECT rolname, rolcanlogin, rolinherit, rolsuper, rolcreatedb, rolcreaterole, rolbypassrls FROM pg_roles WHERE rolname=current_user;

Шаг 3. Проверьте, откуда берутся ваши права

SELECT member_role.rolname AS member_role, parent_role.rolname AS granted_role FROM pg_auth_members m JOIN pg_roles parent_role ON parent_role.oid=m.roleid JOIN pg_roles member_role ON member_role.oid=m.member WHERE member_role.rolname=current_user;

Шаг 4. Проверьте права на БД и схему

SELECT has_database_privilege(current_user, 'transport_lab', 'CONNECT') AS can_connect, has_schema_privilege(current_user, 'transport', 'USAGE') AS can_use_transport, has_schema_privilege(current_user, 'transport', 'CREATE') AS can_create_in_transport;

Шаг 5. Посмотрите реальные права на таблицы

SELECT table_name, has_table_privilege(current_user, format('transport.%I', table_name), 'SELECT') AS can_select, has_table_privilege(current_user, format('transport.%I', table_name), 'INSERT') AS can_insert, has_table_privilege(current_user, format('transport.%I', table_name), 'UPDATE') AS can_update, has_table_privilege(current_user, format('transport.%I', table_name), 'DELETE') AS can_delete FROM information_schema.tables WHERE table_schema='transport' AND table_type='BASE TABLE' ORDER BY table_name;

Шаг 6. Выполните разрешённую операцию

SELECT booking_ref, fare_amount, currency, status FROM transport.bookings ORDER BY id LIMIT 5;

Шаг 7. Завершите этап 1

До окончания пары проверьте, что заполнены разделы протокола 1–6. Затем сформулируйте:

1. какая роль является вашей персональной;
2. какая роль является групповой;
3. какие права наследуются через student_reader;
4. каких административных прав нет;
5. как это связано с принципом минимально необходимых полномочий.

Этап 2 — 01.10.2026

Шаг 8. Запрет UPDATE

UPDATE transport.bookings SET status=status WHERE false;

Шаг 9. Запрет CREATE TABLE

CREATE TABLE transport.lab02_probe(id integer);

Шаг 10. Запрет SET ROLE

SET ROLE operator;

Шаг 11. Служебная таблица

SELECT has_table_privilege(current_user, 'transport.lab_meta', 'SELECT') AS can_read_lab_meta;

Что сдавать по завершении всей ЛР-2

1. ФИО и номер стенда.
2. Идентичность сессии.
3. Свойства персональной роли.
4. Членство в student_reader.
5. Права на БД и схему.
6. Матрицу прав минимум для пяти таблиц.
7. Результат разрешённого SELECT.
8. После этапа 2 — отрицательные проверки.
9. Вывод 5–8 предложений.