摘要：本文主要介绍如何进行用户的各种依赖识别与清理，并简单介绍下推荐的权限管理方式。
本文分享自华为云社区《GaussDB(DWS) 用户删除不掉时候总是报错，依赖如何处理干净？》，作者：Malick 。
数据库的使用中，有时会遇到某些用户离职，或者角色变更时，要对其账号进行销户，权限进行回收等操作。此时如果各种对象的权限比较复杂，依赖较多，是很难顺利直接清理掉该用户的。
本文主要介绍如何进行用户的各种依赖识别与清理，并简单介绍下推荐的权限管理方式。
postgres类数据库经常碰到的问题 – role “test1” cannot be dropped because some objects depend on it
如下图所示，要删除用户test1时，出现如下提示：
testdb=# drop user test1; ERROR: role "test1" cannot be dropped because some objects depend on it DETAIL: owner of database testdb 3 objects in database postgres
ERROR的提示信息说明：
OK，那么我们就按照提示信息来一次处理
首先，当前用户是一个数据库的owner，那么有以下两种处理办法
方法一、将数据库owner转移给其他用户，例如如下转移给grantor用户
testdb=# alter database testdb owner to grantor; ALTER DATABASE testdb=# \l List of databases Name | Owner | Encoding | Collate | Ctype | Access privileges -----------+-----------+----------+-------------+-------------+------------------------- testdb | grantor | UTF8 | en_US.UTF-8 | en_US.UTF-8 | (4 rows) -- 可以看到删除后，不会再报owner database的信息 testdb=# drop user test1; ERROR: role "test1" cannot be dropped because some objects depend on it DETAIL: 3 objects in database postgres
方法二、如果不需要该库，也可以直接将其删除
PS：对于非数据库的对象：表或者schema等，可以使用如下方法将其全部转移给其他用户
-- owner转移 testdb=# REASSIGN OWNED BY test1 TO grantor; REASSIGN OWNED -- 清理owner是test1的对象，慎用，会将用户同名的schema也一同清理掉。 testdb=# drop owned by test1; DROP OWNED
接下来，我们owner的提示信息已经处理完了，处理下一步提示：3 objects in database postgres
这个意思是，在postgres里面有3个对象有依赖该用户。由于库内系统表的依赖，在其他数据库中不会打印出详细的依赖对象信息，那么在postgres库下去执行drop user的时候，会打印出具体的信息。
连接到postgres库执行如下：
postgres=# drop user test1; ERROR: role "test1" cannot be dropped because some objects depend on it DETAIL: privileges for table pg_class privileges for schema grantor
这里就可以看到，有两个依赖项：
那么，我们就可以直接看一下这两个对象对应的权限，去除即可。
postgres=# select relname,relacl from pg_class where relname = 'pg_class'; relname | relacl ----------+---------------------------------- pg_class | {=r/superuser,test1=r/superuser} (1 row) postgres=# select nspname,nspacl from pg_namespace where nspname = 'grantor'; nspname | nspacl ---------+--------------------------------------------------------- grantor | {grantor=UC/grantor,grantor=LP/grantor,test1=U/grantor} (1 row) postgres=# revoke select on table pg_class from test1; REVOKE postgres=# revoke usage on schema grantor from test1; REVOKE postgres=# drop user test1; DROP USER
此时再进行用户删除，就没有其他依赖了。
postgres=# drop user test1;
DROP USER
PS:如果不知道具体对象还删不掉的时候，我们怎么操作呢，此处构造一个案例作为演示，新建用户test2，并赋予其grantor的select权限，此时无法drop
testdb2=# drop user test2; ERROR: role "test2" cannot be dropped because some objects depend on it DETAIL: 2 objects in database postgres
用户的依赖内部实际储存，为pg_shdepend系统表，里面记录了各个有依赖的对象的oid及其依赖关系。首先我们获取到用户的oid，再去系统表中找对应的依赖记录。
testdb2=# select oid ,rolname from pg_roles where rolname = 'test2'; oid | rolname ------------+--------- 2147484573 | test2 (1 row) postgres=# select * from pg_shdepend where refobjid = 2147484573; dbid | classid | objid | objsubid | refclassid | refobjid | deptype | objfile -------+---------+------------+----------+------------+------------+---------+--------- 16073 | 2615 | 2147484575 | 0 | 1260 | 2147484573 | o | 16073 | 2615 | 2147484025 | 0 | 1260 | 2147484573 | a | (2 rows) 这里由于dependType不同，因此有两条记录，一个代表权限依赖(a)，一个代表自身是一个对象的owner。
我们获取到classid之后，这个代表依赖当前用户的对象的记录表的id，那么我们去pg_class表中找到这个依赖即可：
postgres=# select relname,relacl from pg_class where oid = 2615; relname | relacl --------------+---------------- pg_namespace | {=r/d00467397} (1 row)
OK，通过看到记录表是pg_namespace，那么就可以确认依赖用户的是一个schema。这里再到pg_namespace中，查上面获取到的objid，就知道了具体的对象
postgres=# select nspname,nspacl from pg_namespace where oid in (2147484575,2147484025); nspname | nspacl ---------+--------------------------------------------------------- test2 | grantor | {grantor=UC/grantor,grantor=LP/grantor,test2=U/grantor} (2 rows)
这里看到有两个schema，一个是用户同名的schema，一个是刚才赋权的grantor，赋权的处理掉之后，用户即可删除。
postgres=# revoke usage on schema grantor from test2; REVOKE postgres=# drop user test2; DROP USER