PostgreSQL: permissão negada para relação

Estou um pouco confuso sobre a definição de permissões no PostgreSQL.

Eu tenho esses papéis:

                             List of roles
 Role name |                   Attributes                   | Member of 
-----------+------------------------------------------------+-----------
 admin     | Superuser, Create role, Create DB, Replication | {}
 meltemi   | Create role, Create DB                         | {rails}
 rails     | Create DB, Cannot login                        | {}
 myapp     |                                                | {rails}

e bancos de dados:

                                    List of databases
        Name         | Owner  | Encoding |   Collate   |    Ctype    | Access privileges 
---------------------+--------+----------+-------------+-------------+-------------------
 myapp_production    | rails  | UTF8     | en_US.UTF-8 | en_US.UTF-8 | 
 ...

O usuário myappnão tem nenhum problema ao consultar o myapp_productionbanco de dados, adicionando e excluindo registros. Eu gostaria de meltemipoder também consultar o mesmo banco de dados. Então, criei uma função railsque é proprietária do banco de dados e composta por ambos meltemie myappmembros rails. Mas ainda recebo permission denied for relationerros. Meltemipode visualizar o esquema, mas não pode consultar o banco de dados.

Acabei de notar (com \dtcomando) que myappé o proprietário das tabelas:

             List of relations
 Schema |       Name        | Type  | Owner 
--------+-------------------+-------+-------
 public | events            | table | myapp
 public | schema_migrations | table | myapp
 ...
 public | users             | table | myapp
 ...

As tabelas foram criadas por meio de um ORM (migrações do ActiveRecord do Rails).

Eu sei que a autorização é muito diferente no PostgreSQL (em oposição ao MySQL e outros que eu usei). Como devo configurar meu banco de dados para que diferentes usuários possam acessá-lo. Alguns devem ser capazes de CRUD, mas outros só podem ler, etc ...

Obrigado por qualquer ajuda. Desculpe, sei que esta é uma pergunta muito básica, mas não consegui encontrar a resposta.

Acabei de escrever sobre isso na minha resposta para Concedendo direitos no banco de dados postgresql a outro usuário no ServerFault.

Basicamente, a melhor solução quando você tem um único usuário e deseja conceder a outros usuários os mesmos direitos é transformar esse usuário em um grupo, criar um novo usuário com o mesmo nome que o original que é membro do grupo e conceda esse grupo a outros usuários também.

Portanto, no seu caso, railsé renomeado para dizer myapp_users, então você cria uma nova função de login (usuário) chamada railse GRANT myapp_users TO rails. Agora você é GRANT myapp_users TO meltemi. Agora, a nova railsconta e o meltemiusuário têm os direitos da railsconta antiga .

Para um controle mais refinado, geralmente aconselho que você evite dar aos usuários de login diários ou a seus grupos a propriedade das tabelas. Dê a eles acesso por meio de um NOINHERITgrupo ao qual devem explicitamente SET GROUPusar, ou melhor, usar um usuário completamente diferente para operações privilegiadas como DDL e GRANTs. Infelizmente, isso não funciona com o Rails, porque o Rails gosta de aplicar migrações sempre que lhe apetecer e o AFAIK não permite especificar um usuário diferente e mais privilegiado para executar as migrações.