kind: role
version: v5
metadata:
  name: developer
spec:
  allow:
    # 이 역할이 접근할 수 있는 데이터베이스 인스턴스에 대한 레이블 선택기.
    #
    # 이는 데이터베이스 서비스에 설정된 정적/동적 레이블과 비교됩니다.
    db_labels:
      environment: ["dev", "stage"]

    # 이 역할이 연결할 수 있는 데이터베이스 계정 이름.
    db_users: ["viewer", "editor"]

    # 이 역할이 연결할 수 있는 데이터베이스 이름.
    #
    # 이는 "db_service"의 "name" 필드와 동일하지 않으며, 특정 데이터베이스 인스턴스 내의 데이터베이스 이름입니다.
    #
    # 또한, 이 설정은 PostgreSQL에만 영향을 미칩니다. 현재 MySQL 데이터베이스/스키마에는 영향을 미치지 않습니다.
    db_names: ["main", "metrics", "postgres"]

kind: role
version: v5
metadata:
  name: developer
spec:
  allow:
    db_labels:
      environment: ["prod"]
    db_users: ["*"]
    db_names: ["*"]
  deny:
    db_users: ["postgres"]
    db_names: ["postgres"]

spec:
  allow:
    db_names: ["{{external.databases}}"]

spec:
  allow:
    db_users: ["postgres"]
    db_names: ["postgres"]

spec:
  allow:
    db_users: ["{{internal.db_users}}"]
    db_names: ["{{internal.db_names}}"]

kind: db_object_import_rule
metadata:
  name: import_all_objects
spec:
  # 우선순위는 규칙이 얼마나 중요한지를 결정하며, 낮은 숫자는 낮은 우선순위를 나타냅니다.
  # 충돌이 발생할 경우, 같은 레이블이 두 개의 규칙에 의해 적용되면,
  # 더 높은 우선순위의 규칙에 의해 적용된 레이블이 우선합니다.
  priority: 0
  # database_labels는 이 규칙의 범위에 해당하는 데이터베이스 리소스를 지정하는 필터입니다.
  database_labels:
    - name: "*"
      values:
        - "*"
  # 매핑이 일치하는 경우 데이터베이스 객체에 적용할 레이블 세트를 도입합니다.
  # 레이블이 없는 데이터베이스 객체는 가져와지지 않습니다.
  mappings:
    - add_labels:
        database: "{{obj.database}}"
        object_kind: "{{obj.object_kind}}"
        name: "{{obj.name}}"
        protocol: "{{obj.protocol}}"
        schema: "{{obj.schema}}"
        database_service_name: "{{obj.database_service_name}}"
      # match는 가져올 객체를 추가하며, 비어 있을 수 없습니다.
      match:
        # 모든 테이블 이름의 목록
        table_names:
          - "*"
  # 추가 매핑을 여기서 추가할 수 있습니다.
  # - add_labels: ...
version: v1

kind: db_object_import_rule
metadata:
  name: ownership_nonprod
spec:
  priority: 100
  database_labels:
    # 'dev' 및 'staging' 환경에 영향을 미칩니다.
    # Prod 환경은 다른 규칙을 가질 수 있습니다.
    - name: "env"
      values:
        - "staging"
        - "dev"
        - "prod"
  mappings:
    # 프로젝트 레이블 적용
    - add_labels:
        project: horizon
      # match 섹션은 필수이며, 최소한 하나의 비어 있지 않은 하위 섹션을 포함해야 합니다.
      match:
        table_names:
          - "*"
      # scope는 선택적 섹션으로 데이터베이스와 스키마 이름으로 객체를 추가 필터링할 수 있게 해줍니다. 생략하면 이 필터링이 비활성화됩니다.
      scope:
        database_names:
          - "horizon"
          - "horizon_v2"
        schema_names:
          - "application"
          - "data_import"
    # 각 테이블에 대해 `dept: hr` 레이블을 추가합니다.
    - add_labels:
        dept: hr
      match:
        table_names:
          - "*"
      scope:
        schema_names:
          - "recruitment"
          - "salaries"
          - "pto"
          - "hr_scratchpad"
version: v1

version: v7
kind: role
metadata:
  name: dept_hr_permissions
spec:
  allow:
    db_labels:
      "*": "*"
    db_names:
      - "*"
    db_permissions:
      # 기본 권한: 읽기 전용
      - match:
          object_kind: table
          dept: hr
        permissions:
          - SELECT
      # 선택 테이블에 대한 추가 권한
      - match:
          object_kind: table
          dept: hr
          name: hr_scratchpad
        permissions:
          - SELECT
          - UPDATE
          - DELETE
          - INSERT
  deny:
    db_permissions:
      # `dept: sales` 테이블과의 모든 상호작용을 명시적으로 금지합니다.
      - match:
          dept: sales
        permissions:
          - "*"
  options:
    create_db_user_mode: keep

INFO [DB:SERVIC] 데이터베이스에서 가져온 데이터베이스 객체 (table:75). db:my-postgres id:b4a33740-1d82-4a8d-b2be-2aa90ae9d2eb total:75 postgres/users.go:212
INFO [DB:SERVIC] 가져온 데이터베이스 객체 (table:75). db:my-postgres err_count:0 id:b4a33740-1d82-4a8d-b2be-2aa90ae9d2eb total:75 postgres/users.go:216
INFO [DB:SERVIC] 계산된 데이터베이스 권한: "INSERT": 75 객체 (table:75), "SELECT": 75 객체 (table:75), "UPDATE": 75 객체 (table:75). db:my-postgres id:b4a33740-1d82-4a8d-b2be-2aa90ae9d2eb user:teleport-user postgres/users.go:223