Как настроить политику защиты строк в PostgreSQL?

Question

[Dannerty]

Здравствуйте. Подскажите, можно ли реализовать защиту строк в таблицах в моем случае?

Есть продуктивный сервер, в котором есть таблица настроек, в этой таблице хранятся настройки всех доп.серверов, с указанием UUID сервера в поле "Server".
Также есть схемы-серверы для каждого из серверов, в которых есть такая же таблица настроек, но в ней хранятся настройки только конкретного сервера.
User-mapping настроен на одну учетную запись для всех серверов.
Хотелось бы каким-то образом ограничить изменение строк из базы серверов в продуктивной базе, не относящихся к конкретному серверу.

Что-то типа

CREATE POLICY security_ros ON settings_table
  USING (server = (select server from settings_table group by server))

Этот вариант не работает, т.к. судя по всему условие выполняется на продуктивном сервере, а там возвращает больше одной строки.
Можно ли настроить подобную политику, но чтобы использовались таблицы отдельных серверов?

В идеале это должно выглядеть так, ну как мне представляется:
1. На продуктивном сервере в таблице 'settings_table' хранятся настройки всех остальных серверов, в поле 'server' указаны uuid всех остальных.
2. На сервере 'server_1' в таблице 'settings_table' находятся только настройки, относящиеся к данному серверу, т.е. в поле 'server' только один uuid, других нет.
3. Сервер 'server_1' делает обновление своих настроек у себя в базе и продуктивной:

update settings_table set value = 1 where parameter = 'pararmeter'
update product_server.settings_table set value = 1 where parameter = 'parameter'

4. При выполнении запроса на обновление настройки на продуктивном сервере должен сработать фильтр, который использует uuid из таблицы сервера 'server_1', т.к. там он уникален, и позволит изменить настройку только ту, которая относится к данному uuid, не изменяя остальных с таким же именем поля 'parameter'.
По аналогии с подобным запросом:

update product_server.settings_table set value = 1 where parameter = 'parameter' and server = 'uuid_server'

Это необходимо для того, чтоб с каждого отдельного сервера можно было просмотреть или изменить настройки в базе продуктивного сервера только те, которые относятся к нему.

Comments

[Melkij]

User-mapping настроен на одну учетную запись для всех серверов.

А вы точно представляете, что хотите сделать?
Пользователь один, по какому критерию требуется фильтровать?

[Dannerty]

Melkij, да, я представлял, что есть возможность настроить фильтрацию по полю 'server' в таблице. И таким образом, к примеру, сервер-1 со своим uuid мог бы редактировать\просматривать записи на продуктивном сервере, которые в поле 'server' имеют тот же uuid. Но, судя по всему, такую фильтрацию не получится настроить.

[Melkij]

Объясните RLS как различать какой сервер имеет в виду текущий запрос. А затем - как гарантировать, что этот признак выставляет только тот, кому это можно. Иначе любая безопасность здесь бесполезна. RLS никак не поможет, если клиент имеет возможность манипулировать списком собственных полномочий.