47장. Role·TLS·감사 경계를 운영한다

application, migration, read-only analytics, backup, replication, monitoring, incident role을 나누고 owner 권한을 application에 주지 않는다. schema의 object owner와 runtime role을 분리하며 default privilege가 새 table에도 의도대로 적용되는지 test한다. 사람 계정 공유와 장기 password 대신 지원되는 짧은 credential·secret rotation을 사용한다.

TLS는 “켜짐”만 보지 않고 hostname, chain, 만료, 허용 protocol, client verification을 확인한다. 인증서 교체는 old/new overlap, pool 재연결, replica·backup client와 monitor를 포함한다. pg_hba.conf rule은 위에서 먼저 일치하므로 넓은 rule이 좁은 rule을 가리지 않는지 review한다. 변경 전 별도 admin session과 rollback 파일을 준비한다.

audit에는 모든 SELECT를 무기한 남기기보다 권한 변경, schema, 민감 table 접근과 실패를 위험 기반으로 기록한다. query parameter와 자유 입력의 개인정보를 log에 남기지 않는다. 누가 어떤 role로 어떤 변경을 했는지 database log와 deployment/change id를 연결하고 보존·접근·삭제 정책을 둔다.