PostgreSQL: отказано в разрешении для связи

Я немного запутался в настройке разрешений в PostgreSQL.

У меня есть эти роли:

                             List of roles
 Role name |                   Attributes                   | Member of 
-----------+------------------------------------------------+-----------
 admin     | Superuser, Create role, Create DB, Replication | {}
 meltemi   | Create role, Create DB                         | {rails}
 rails     | Create DB, Cannot login                        | {}
 myapp     |                                                | {rails}

и базы данных:

                                    List of databases
        Name         | Owner  | Encoding |   Collate   |    Ctype    | Access privileges 
---------------------+--------+----------+-------------+-------------+-------------------
 myapp_production    | rails  | UTF8     | en_US.UTF-8 | en_US.UTF-8 | 
 ...

У пользователя myappнет проблем с запросом к myapp_productionбазе данных, добавлением и удалением записей. Я хотел бы meltemiтакже иметь возможность запрашивать ту же базу данных. Итак, я создал роль, railsкоторая владеет базой данных и сделал meltemiи myappчленов и членов rails. Но я все еще получаю permission denied for relationошибки. Meltemiможет просматривать схему, но не может запрашивать БД.

Я только что заметил (с помощью \dtкоманды), что myappявляется владельцем таблиц:

             List of relations
 Schema |       Name        | Type  | Owner 
--------+-------------------+-------+-------
 public | events            | table | myapp
 public | schema_migrations | table | myapp
 ...
 public | users             | table | myapp
 ...

Таблицы были созданы с помощью ORM (миграции ActiveRecord от Rails).

Я знаю, что авторизация в PostgreSQL сильно отличается (в отличие от MySQL и других, которые я использовал). Как мне настроить свою базу данных, чтобы разные пользователи могли получить к ней доступ? Некоторые должны быть в состоянии CRUD, но другие могут только читать, и т.д ...

Спасибо за любую помощь. Извините, я знаю, что это очень простой вопрос, но я не смог найти ответ сам.

Я только что написал об этом в своем ответе на Предоставление прав на базу данных postgresql другому пользователю на ServerFault.

По сути, лучшим решением, когда у вас есть один пользователь и вы хотите предоставить другим пользователям те же права, является превращение этого пользователя в группу, создание нового пользователя с тем же именем, что и у исходного пользователя, который является членом группы, и предоставить эту группу другим пользователям.

Таким образом, в вашем случае railsпереименовывается, чтобы сказать myapp_users, а затем вы создаете новую роль входа (пользователь) с именем railsи GRANT myapp_users TO rails. Теперь вы GRANT myapp_users TO meltemi. И новая railsучетная запись, и meltemiпользователь теперь имеют права старой railsучетной записи.

Для более детального контроля я обычно советую вам избегать ежедневного входа пользователей или их групп в владение таблицами. Предоставьте им доступ через NOINHERITгруппу, которую они должны явно SET GROUPили, что лучше, использовать совершенно другому пользователю для привилегированных операций, таких как DDL и GRANTs. К сожалению, это не работает с Rails, потому что Rails любит применять миграцию всякий раз, когда ему это нравится, и AFAIK не дает вам возможности указать другого, более привилегированного пользователя для запуска миграций.