“给报表任务临时数据库访问权”是一门面向已掌握基本终端和文件操作的学习者的 DevSecOps 实战项目课。你将通过 OpenBao 为 MarketLedger 报表取得真实且权限有限的 PostgreSQL 登录身份，生成实际业务汇总，并结束已验证的任务访问，同时保持商店和另一份报表正常运行。
两项 Guided Lab 逐步讲解账号权限和租约生命周期。独立 Challenge 将两者组合，用于另一个报表视图。每个单元都从独立准备的数据和服务开始。
你将学到什么
完成本课程后，你将能够：
- 将生成的数据库登录身份限制在任务所需的报表视图内；
- 区分 OpenBao 操作者令牌、租约 ID、数据库用户名和密码；
- 使用真实动态签发的 PostgreSQL 身份生成完整 TSV 文件；
- 撤销任务的精确租约，观察新连接被真实拒绝密码认证；
- 区分自然到期和显式撤销，用新身份恢复，并结束替代任务的访问；
- 保留私有源记录、正常运行的商店和独立签发的报表身份。
本课程适合谁
本课程适合希望通过具体任务了解应用临时凭据的 DevSecOps 初学者、开发者和运维人员。
前置要求： 会在终端中切换目录，熟悉小型文本文件。实验在使用前解释 SQL 权限语句、环境变量和凭据文件处理。不要求 Python 编程或 OpenBao 管理经验。
学习环境： 已准备好的 Linux Terminal、真实本地 PostgreSQL 数据库和 OpenBao 服务、可用的商店客户端、合成订单与现成报表查询。无需在本机安装软件或注册云账号。
常见问题
需要编写报表应用吗？
不需要。查询和商店客户端已经提供。你负责配置账号边界，并使用签发的凭据生成真实报表。
修改创建策略会修好已经签发的账号吗？
不会。已有账号保留原来的权限。课程教你在最终策略修改后取得新身份，并结束较早的不安全签发。
到期会关闭所有数据库会话吗？
实验验证的是新的密码认证连接，不声称终止所有已打开的会话或清空生产连接池。已准备的管理组件仍属于信任边界。
