LOGIN属性を持つロールのみがデータベース接続の初期ロール名として使用できます。 LOGIN 属性を持つロールは「データベースユーザ」と同じであるとみなすことができます。 ログイン権限を持つロールの作成方法は、以下のいずれかです。

CREATE ROLE name LOGIN;
CREATE USER name;

（CREATE USERはデフォルトで LOGINを持ち、CREATE ROLEは持たないという点を除き、CREATE USERはCREATE ROLEと同じです。）

ログイン権限を除き、データベーススーパーユーザに対する権限検査は全て行われません。 これは危険な権限ですので、安易に使用してはいけません。 作業のほとんどを非スーパーユーザのロールで行うことが最善です。 新しいデータベーススーパーユーザを作成するには、CREATE ROLE name SUPERUSERを使用してください。 これはスーパーユーザのロールで実行しなければなりません。

（全ての権限検査が行われないスーパーユーザを除き）ロールに明示的にデータベースを作成するための権限を指定しておかねばいけません。 そのようなロールを作るためにはCREATE ROLE name CREATEDBを使用してください。

あるロールがロールを作成するには、明示的な権限が付与されていなければなりません。 （スーパーユーザは、すべての権限検査を迂回しますので、例外です。） こうしたロールを作成するには、CREATE ROLE name CREATEROLEを使用してください。 CREATEROLE権限を持つロールは他のロールを変更したり削除したりすることもできます。 また、他のロールのメンバ資格を付与したり取り上げたりすることもできます。 ロールの変更には、たとえばパスワードの変更などを含む、ALTER ROLEを使って実行できるほとんどの変更が含まれます。 また、COMMENTとSECURITY LABELコマンドを使って実行できるロールの変更も含まれます。

しかし、CREATEROLEでは、SUPERUSERロールを作成する能力は移譲されませんし、既存のSUPERUSERロールに対する権限も移譲されません。 さらに、CREATEROLEでは、REPLICATIONユーザを作成する機能も、REPLICATION権限を付与または取り消す能力も、そのようなユーザのロール属性を変更する能力も移譲されません。 ただし、REPLICATIONロールでのALTER ROLE ... SETおよびALTER ROLE ... RENAMEの使用、およびCOMMENT ON ROLE、SECURITY LABEL ON ROLE、DROP ROLEの使用は許可されます。 最後に、CREATEROLEでは、BYPASSRLS権限を付与または取り消す能力は付与されません。

CREATEROLE権限を持つユーザは、(まだ)権限が付与されていないロールに対しても、メンバ資格の付与または取り消しを行うことができるため、CREATEROLEユーザは、pg_execute_server_programやpg_write_server_filesなどの高度な権限を持つロールを含む、システム内のすべての事前定義されたロールの機能への権限を取得できます。

あるロールがストリーミングレプリケーションの新規接続を実施するには、明示的な権限が付与されていなければなりません。 （スーパーユーザは、すべての権限検査を迂回しますので、例外です。） ストリーミングレプリケーションを行うロールは、LOGIN権限も持っていることが必要です。 こうしたロールを作成するには、CREATE ROLE name REPLICATION LOGINを使用してください。

パスワードは、クライアント認証方法においてデータベースに接続する際にユーザにパスワードを要求する場合にのみ重要になります。 passwordとmd5認証方式でパスワードが使用されます。 データベースパスワードはオペレーティングシステムのパスワードとは異なります。 ロール作成時にCREATE ROLE name PASSWORD 'string'のようにパスワードを指定します。

ロールには、デフォルトでメンバであるロールの権限を継承する権限が付与されます。 ただし、権限なしでロールを作成するには、CREATE ROLE name NOINHERITを使用します。

（全ての権限検査が行われないスーパーユーザを除き）ロールに明示的にすべての行単位セキュリティ(RLS)ポリシーをバイパスするための権限を指定しておかねばなりません。 そのようなロールを作るためには、スーパーユーザでCREATE ROLE name BYPASSRLSを使用してください。

接続制限では、ロールが作成できる同時接続数を指定できます。 -1(デフォルト)は制限なしを意味します。 CREATE ROLE name CONNECTION LIMIT 'integer'でロール作成時に接続制限を指定します。