印刻数据库

外观

PostgreSQL 认证方法配置 ​

认证方法概述 ​

什么是数据库认证 ​

数据库认证是指验证连接到数据库的用户身份的过程，确保只有授权用户能够访问数据库资源。PostgreSQL提供了多种认证方法，以适应不同的安全需求和环境。

认证流程 ​

PostgreSQL的认证流程包括以下步骤：

  1. 连接请求：客户端向PostgreSQL服务器发送连接请求
  2. 认证请求：服务器根据pg_hba.conf配置，选择合适的认证方法
  3. 身份验证：客户端和服务器之间进行身份验证
  4. 权限检查：验证通过后，检查用户是否有权限连接到指定数据库
  5. 连接建立：认证和权限检查通过后，建立数据库连接

认证方法类型 ​

PostgreSQL支持多种认证方法，主要包括：

  1. 基于密码的认证：

    • md5：使用MD5哈希算法加密密码
    • scram-sha-256：使用SCRAM-SHA-256算法，更安全
    • password：明文密码（不推荐）

  2. 基于身份的认证：

    • peer：使用操作系统用户身份认证
    • ident：使用Ident协议认证
    • trust：信任所有连接（不推荐）

  3. 基于证书的认证：

    • cert：使用SSL证书认证

  4. 外部认证：

    • ldap：使用LDAP服务器认证
    • radius：使用RADIUS服务器认证
    • pam：使用PAM（Pluggable Authentication Modules）认证
    • gss：使用GSSAPI认证

pg_hba.conf配置 ​

pg_hba.conf文件位置 ​

pg_hba.conf文件通常位于PostgreSQL数据目录中：

  • 默认位置：/var/lib/pgsql/14/data/pg_hba.conf（Linux）
  • Windows：C:\Program Files\PostgreSQL\14\data\pg_hba.conf

pg_hba.conf配置格式 ​

pg_hba.conf文件的每一行表示一个认证规则，格式如下：

# TYPE  DATABASE    USER        ADDRESS                 METHOD  [OPTIONS]

字段说明：

  • TYPE：连接类型，包括local（本地连接）、host（TCP/IP连接）、hostssl（SSL连接）、hostnossl（非SSL连接）
  • DATABASE：数据库名称，可以是具体数据库名、all（所有数据库）、sameuser（与用户名相同的数据库）、samerole（与用户角色相同的数据库）
  • USER：用户名，可以是具体用户名、all（所有用户）、一个组名（以+开头）
  • ADDRESS：客户端IP地址，可以是具体IP、CIDR地址（如192.168.1.0/24）、all（所有地址）
  • METHOD：认证方法，如md5、scram-sha-256、peer等
  • OPTIONS：可选参数，不同认证方法有不同的选项

配置示例 ​

# 本地连接，使用peer认证
local   all             all                                     peer

# 本地连接到postgres数据库，使用peer认证
local   postgres        postgres                                peer

# TCP/IP连接，使用scram-sha-256认证
host    all             all             0.0.0.0/0               scram-sha-256

# SSL连接，使用scram-sha-256认证
hostssl all             all             ::/0                    scram-sha-256

# 特定IP范围，使用md5认证
host    all             all             192.168.1.0/24          md5

# 特定数据库和用户，使用ident认证
host    mydb            myuser          192.168.1.0/24          ident

配置加载 ​

修改pg_hba.conf后，需要重新加载配置才能生效：

bash
# 使用pg_ctl重新加载
sudo -u postgres pg_ctl reload -D /var/lib/pgsql/14/data

# 或使用SQL命令
SELECT pg_reload_conf();

认证方法配置与使用 ​

1. 基于密码的认证 ​

md5认证 ​

配置示例：

host    all             all             0.0.0.0/0               md5

特点：

  • 使用MD5哈希算法加密密码
  • 支持所有PostgreSQL版本
  • 安全性较低，建议升级到scram-sha-256

scram-sha-256认证 ​

配置示例：

host    all             all             0.0.0.0/0               scram-sha-256

配置要求：

  • PostgreSQL 10+版本
  • postgresql.conf中设置：
    password_encryption = scram-sha-256

特点：

  • 使用SCRAM-SHA-256算法，更安全
  • 支持密码加盐和迭代次数
  • 防止中间人攻击

password认证 ​

配置示例：

host    all             all             0.0.0.0/0               password

特点：

  • 密码以明文形式传输
  • 安全性极低，不推荐使用
  • 仅用于测试环境

2. 基于身份的认证 ​

peer认证 ​

配置示例：

local   all             all                                     peer

特点：

  • 仅适用于本地连接
  • 验证客户端操作系统用户名与PostgreSQL用户名是否一致
  • 无需密码，方便本地管理

ident认证 ​

配置示例：

host    all             all             192.168.1.0/24          ident

特点：

  • 基于Ident协议，通过TCP/IP连接
  • 验证客户端操作系统用户名
  • 需要在客户端安装identd服务

trust认证 ​

配置示例：

host    all             all             127.0.0.1/32            trust

特点：

  • 信任所有连接，无需认证
  • 安全性极低，仅用于测试环境
  • 不推荐在生产环境使用

3. 基于证书的认证 ​

cert认证 ​

配置示例：

hostssl all             all             0.0.0.0/0               cert clientcert=1

配置要求：

  • 启用SSL，postgresql.conf中设置：
    ssl = on
ssl_cert_file = 'server.crt'
ssl_key_file = 'server.key'
ssl_ca_file = 'root.crt'

特点：

  • 使用SSL证书进行身份验证
  • 客户端需要提供有效的SSL证书
  • 安全性高，适合生产环境

4. 外部认证 ​

ldap认证 ​

配置示例：

host    all             all             0.0.0.0/0               ldap ldapserver=ldap.example.com ldapport=389 ldapbasedn="dc=example,dc=com" ldapbinddn="cn=admin,dc=example,dc=com" ldapbindpasswd=admin_password ldapsearchattribute=uid

特点：

  • 与LDAP服务器集成，集中管理用户
  • 支持复杂的身份验证规则
  • 适合企业级环境

pam认证 ​

配置示例：

host    all             all             0.0.0.0/0               pam pamservice=postgresql

配置要求：

  • 安装pam相关包
  • 配置PAM服务文件（/etc/pam.d/postgresql）

特点：

  • 利用系统PAM模块进行认证
  • 支持多种认证方式，如本地密码、LDAP、RADIUS等
  • 适合与现有系统认证集成

gss认证 ​

配置示例：

host    all             all             0.0.0.0/0               gss

特点：

  • 使用GSSAPI（Generic Security Services Application Programming Interface）
  • 常用于Kerberos认证
  • 适合企业级环境，尤其是Windows域环境

认证最佳实践 ​

1. 使用安全的认证方法 ​

  • 推荐使用：scram-sha-256、cert、ldap、pam
  • 避免使用：password、trust
  • 谨慎使用：md5（建议升级到scram-sha-256）

2. 最小权限原则 ​

  • 仅授予必要的访问权限
  • 限制特定IP范围的访问
  • 限制特定数据库和用户的访问
# 仅允许特定IP访问特定数据库和用户
host    mydb            myuser          192.168.1.100/32         scram-sha-256

3. 启用SSL加密 ​

  • 对所有TCP/IP连接启用SSL
  • 配置ssl_cert_file、ssl_key_file和ssl_ca_file
  • 强制客户端使用SSL连接
# 仅允许SSL连接
hostssl all             all             0.0.0.0/0               scram-sha-256

4. 定期更新密码 ​

  • 设置密码过期策略
  • 使用强密码策略
  • 定期轮换密码

5. 限制超级用户访问 ​

  • 限制超级用户只能从本地连接
  • 避免使用超级用户进行日常操作
  • 创建专用的管理员角色
# 超级用户仅允许本地连接
local   all             postgres                                peer

6. 日志记录认证事件 ​

  • 启用认证日志，postgresql.conf中设置：
    log_connections = on
log_disconnections = on
log_authfailures = on

7. 定期审查pg_hba.conf ​

  • 定期审查pg_hba.conf配置
  • 移除不必要的认证规则
  • 确保认证规则的顺序正确（规则从上到下匹配，匹配到第一条即停止）

8. 使用防火墙限制访问 ​

  • 配置防火墙，仅允许特定IP访问PostgreSQL端口
  • 避免将PostgreSQL端口暴露在公网上
  • 使用VPN或专线连接

常见问题与解决方案 ​

1. 无法连接到数据库 ​

问题现象：

psql: error: connection to server at "localhost" (::1), port 5432 failed: FATAL:  no pg_hba.conf entry for host "::1", user "postgres", database "postgres", SSL off

解决方案：

  • 检查pg_hba.conf中是否有对应的认证规则
  • 确保认证规则的顺序正确
  • 重新加载pg_hba.conf配置

2. 密码认证失败 ​

问题现象：

psql: error: connection to server at "localhost" (::1), port 5432 failed: FATAL:  password authentication failed for user "postgres"

解决方案：

  • 检查用户名和密码是否正确
  • 检查pg_hba.conf中认证方法是否正确
  • 检查密码加密方式是否匹配（md5 vs scram-sha-256）
  • 重置密码：
    bash
    sudo -u postgres psql -c "ALTER USER postgres PASSWORD 'new_password';"

3. peer认证失败 ​

问题现象：

psql: error: connection to server at "localhost" (::1), port 5432 failed: FATAL:  Peer authentication failed for user "postgres"

解决方案：

  • 确保操作系统用户名与PostgreSQL用户名一致
  • 检查pg_hba.conf中是否使用了peer认证
  • 尝试使用sudo -u postgres psql连接

4. SSL连接失败 ​

问题现象：

psql: error: connection to server at "localhost" (::1), port 5432 failed: FATAL:  no pg_hba.conf entry for host "::1", user "postgres", database "postgres", SSL on

解决方案：

  • 检查pg_hba.conf中是否有hostssl规则
  • 检查SSL配置是否正确
  • 尝试使用sslmode=require选项连接：
    bash
    psql "host=localhost dbname=postgres user=postgres sslmode=require"

5. ldap认证失败 ​

问题现象：

psql: error: connection to server at "localhost" (::1), port 5432 failed: FATAL:  LDAP authentication failed for user "myuser"

解决方案：

  • 检查LDAP服务器连接是否正常
  • 检查ldapbinddn和ldapbindpasswd是否正确
  • 检查ldapbasedn和ldapsearchattribute是否正确
  • 查看PostgreSQL日志，获取详细错误信息

版本差异注意事项 ​

PostgreSQL 9.x ​

  • 默认认证方法：md5
  • 不支持：scram-sha-256认证
  • SSL配置：ssl参数默认关闭

PostgreSQL 10-11 ​

  • 支持：scram-sha-256认证
  • 默认密码加密：md5（需要手动设置为scram-sha-256）
  • SSL配置：ssl参数默认关闭

PostgreSQL 12+ ​

  • 默认密码加密：scram-sha-256
  • SSL配置：ssl参数默认关闭（PostgreSQL 13+部分发行版默认开启）
  • 增强：认证日志记录功能增强

PostgreSQL 14+ ​

  • 增强：scram-sha-256性能优化
  • 新增：支持更多认证选项
  • 增强：SSL配置简化