kind: role
version: v5
metadata:
  name: developer
spec:
  allow:
    # 이 역할이 액세스할 수 있는 데이터베이스 인스턴스에 대한 레이블 선택자.
    #
    # 이는 데이터베이스 서비스에 설정된 정적/동적 레이블과 일치해야 합니다.
    db_labels:
      environment: ["dev", "stage"]

    # 이 역할이 연결할 수 있는 데이터베이스 계정 이름.
    db_users: ["viewer", "editor"]

    # 이 역할이 연결할 수 있는 데이터베이스 이름.
    #
    # 참고, 이것은 "db_service"의 "name" 필드와는 다릅니다. 이는 특정 데이터베이스 인스턴스 내의 데이터베이스 이름입니다.
    #
    # 또한 현재 이 설정은 PostgreSQL에만 적용됩니다. MySQL 데이터베이스/스키마에는 현재 효과가 없습니다.
    db_names: ["main", "metrics", "postgres"]

kind: role
version: v5
metadata:
  name: developer
spec:
  allow:
    db_labels:
      environment: ["prod"]
    db_users: ["*"]
    db_names: ["*"]
  deny:
    db_users: ["postgres"]
    db_names: ["postgres"]

spec:
  allow:
    db_names: ["{{external.databases}}"]

spec:
  allow:
    db_users: ["postgres"]
    db_names: ["postgres"]

spec:
  allow:
    db_users: ["{{internal.db_users}}"]
    db_names: ["{{internal.db_names}}"]

kind: db_object_import_rule
metadata:
  name: import_all_objects
spec:
  # 우선 순위는 규칙의 중요도를 결정하며, 낮은 숫자는 낮은 우선 순위를 나타냅니다.
  # 충돌 시 두 규칙이 동일한 레이블을 적용할 때 우선 순위가 높은 규칙이 적용됩니다.
  priority: 0
  # database_labels는 이 규칙의 범위에 있는 데이터베이스 리소스를 지정하는 필터입니다.
  database_labels:
  - name: '*'
    values:
    - '*'
  # 각 매핑은 일치할 경우 데이터베이스 객체에 적용할 레이블 세트를 도입합니다.
  # 레이블이 없는 데이터베이스 객체는 가져오지 않습니다.
  mappings:
  - add_labels:
      database: '{{obj.database}}'
      object_kind: '{{obj.object_kind}}'
      name: '{{obj.name}}'
      protocol: '{{obj.protocol}}'
      schema: '{{obj.schema}}'
      database_service_name: '{{obj.database_service_name}}'
    # match는 가져올 객체를 추가하며, 비어 있을 수 없습니다.
    match:
      # 모든 테이블 이름 목록
      table_names:
      - '*'
  # 추가 매핑을 여기에 추가할 수 있습니다.
  # - add_labels: ...
version: v1

kind: db_object_import_rule
metadata:
  name: ownership_nonprod
spec:
  priority: 100
  database_labels:
  # 'dev' 및 'staging' 환경에 영향을 미칩니다.
  # prod 환경은 다른 규칙을 가질 수 있습니다.
  - name: 'env'
    values:
    - 'staging'
    - 'dev'
    - 'prod'
  mappings:
  # 프로젝트 레이블 적용
  - add_labels:
      project: horizon
    # match 섹션은 필수이며 하나 이상의 비어 있지 않은 하위 섹션을 포함해야 합니다.
    match:
      table_names:
      - '*'
    # scope는 데이터베이스 및 스키마 이름으로 객체를 추가로 필터링하는 선택적 섹션입니다. 생략 시 이 필터링은 비활성화됩니다.
    scope:
      database_names:
      - 'horizon'
      - 'horizon_v2'
      schema_names:
      - 'application'
      - 'data_import'
  # 해당 테이블에 대해 `dept: hr` 레이블 추가.
  - add_labels:
      dept: hr
    match:
      table_names:
      - '*'
    scope:
      schema_names:
      - 'recruitment'
      - 'salaries'
      - 'pto'
      - 'hr_scratchpad'
version: v1

version: v7
kind: role
metadata:
  name: dept_hr_permissions
spec:
  allow:
    db_labels:
      '*': '*'
    db_names:
    - '*'
    db_permissions:
    # 기본 권한: 읽기 전용
    - match:
        object_kind: table
        dept: hr
      permissions:
      - SELECT
    # 특정 테이블에 대한 추가 권한
    - match:
        object_kind: table
        dept: hr
        name: hr_scratchpad
      permissions:
      - SELECT
      - UPDATE
      - DELETE
      - INSERT
  deny:
    db_permissions:
    # `dept: sales` 테이블에 대한 상호작용을 명시적으로 금지합니다.
    - match:
        dept: sales
      permissions:
      - '*'
  options:
    create_db_user_mode: keep

INFO [DB:SERVIC] Database objects fetched from the database (table:75). db:my-postgres id:b4a33740-1d82-4a8d-b2be-2aa90ae9d2eb total:75 postgres/users.go:212
INFO [DB:SERVIC] Database objects imported (table:75). db:my-postgres err_count:0 id:b4a33740-1d82-4a8d-b2be-2aa90ae9d2eb total:75 postgres/users.go:216
INFO [DB:SERVIC] Calculated database permissions: "INSERT": 75 objects (table:75), "SELECT": 75 objects (table:75), "UPDATE": 75 objects (table:75). db:my-postgres id:b4a33740-1d82-4a8d-b2be-2aa90ae9d2eb user:teleport-user postgres/users.go:223