openGauss 配置檔案參考

techbing發表於2024-04-30

配置檔案參考

表 1 引數說明

引數名稱

描述

取值範圍

local

表示這條記錄只接受透過Unix域套接字進行的連線。沒有這種型別的記錄，就不允許Unix域套接字的連線。

只有在從伺服器本機使用gsql連線且在不指定-h引數的情況下，才是透過Unix域套接字連線。

-

host

表示這條記錄既接受一個普通的TCP/IP套接字連線，也接受一個經過SSL加密的TCP/IP套接字連線。

-

hostssl

表示這條記錄只接受一個經過SSL加密的TCP/IP套接字連線。

用SSL進行安全的連線，需要配置申請數字證書並配置相關引數，詳細資訊請參見用SSL進行安全的TCP/IP連線。

hostnossl

表示這條記錄只接受一個普通的TCP/IP套接字連線。

-

DATABASE

宣告記錄所匹配且允許訪問的資料庫。
  • all：表示該記錄匹配所有資料庫。
  • sameuser：表示如果請求訪問的資料庫和請求的使用者同名，則匹配。
  • samerole：表示請求的使用者必須是與資料庫同名角色中的成員。
  • samegroup：與samerole作用完全一致，表示請求的使用者必須是與資料庫同名角色中的成員。
  • 一個包含資料庫名的檔案或者檔案中的資料庫列表：檔案可以透過在檔名前面加字首@來宣告。檔案中的資料庫列表以逗號或者換行符分隔。
  • 特定的資料庫名稱或者用逗號分隔的資料庫列表。
    說明：

    值replication表示如果請求一個複製連結，則匹配，但複製連結不表示任何特定的資料庫。如需使用名為replication的資料庫，需在database列使用記錄“replication”作為資料庫名。

USER

宣告記錄所匹配且允許訪問的資料庫使用者。
  • all：表明該記錄匹配所有使用者。
  • +使用者角色：表示匹配任何直接或者間接屬於這個角色的成員。
    說明：

    +表示字首符號。

  • 一個包含使用者名稱的檔案或者檔案中的使用者列表：檔案可以透過在檔名前面加字首@來宣告。檔案中的使用者列表以逗號或者換行符分隔。
  • 特定的資料庫使用者名稱或者用逗號分隔的使用者列表。

ADDRESS

指定與記錄匹配且允許訪問的IP地址範圍。

支援IPv4和IPv6，可以使用如下兩種形式來表示：

  • IP地址/掩碼長度。例如，10.10.0.0/24
  • IP地址子網掩碼。例如，10.10.0.0 255.255.255.0
說明：

以IPv4格式給出的IP地址會匹配那些擁有對應地址的IPv6連線，比如127.0.0.1將匹配IPv6地址 ::ffff:127.0.0.1。

METHOD

宣告連線時使用的認證方法。

本產品支援如下幾種認證方式，詳細解釋請參見表2：

  • trust
  • reject
  • md5（不推薦使用，預設不支援，可透過password_encryption_type引數配置）
    說明：

    MD5加密演算法安全性低，存在安全風險，建議使用更安全的加密演算法。

  • sha256
  • sm3
  • cert
  • peer（僅用於local模式）

表 2 認證方式

認證方式

說明

trust

採用這種認證模式時，本產品只完全信任從伺服器本機使用gsql且不指定-U引數的連線，此時不需要口令。

trust認證對於單使用者工作站的本地連線是非常合適和方便的，通常不適用於多使用者環境。如果想使用這種認證方法，可利用檔案系統許可權限制對伺服器的Unix域套接字檔案的訪問。要使用這種限制有兩個方法：

  • 設定引數unix_socket_permissions和unix_socket_group。
  • 設定引數unix_socket_directory，將Unix域套接字檔案放在一個經過恰當限制的目錄裡。
須知：

設定檔案系統許可權只能Unix域套接字連線，它不會限制本地TCP/IP連線。為保證本地TCP/IP安全，openGauss不允許遠端連線使用trust認證方法。

reject

無條件地拒絕連線。常用於過濾某些主機。

md5

要求客戶端提供一個md5加密的口令進行認證。

須知：
  • MD5加密演算法安全性低，存在安全風險，建議使用更安全的加密演算法。
  • openGauss保留md5認證和密碼儲存，是為了便於第三方工具的使用（比如TPCC評測工具）。

sha256

要求客戶端提供一個sha256演算法加密的口令進行認證，該口令在傳送過程中結合salt（伺服器傳送給客戶端的隨機數）的單向sha256加密，增強了安全性。

sm3

要求客戶端提供一個sm3演算法加密口令進行認證，該口令在傳送過程中結合salt（伺服器傳送給客戶端的隨機數）的單項sm3的加密，增加了安全性。

cert

客戶端證書認證模式，此模式需進行SSL連線配置且需要客戶端提供有效的SSL證書，不需要提供使用者密碼。

須知：

該認證方式只支援hostssl型別的規則。

peer

獲取客戶端所在作業系統使用者名稱，並檢查與資料庫初始使用者名稱是否一致。此方式只支援資料庫初始使用者透過local模式本地連線，並支援透過配置pg_ident.conf建立作業系統使用者與資料庫初始使用者對映關係。

假設作業系統使用者名稱為omm，資料庫初始使用者為dbAdmin，在pg_hba.conf中配置local模式為peer認證：

local   all    all        peer    map=mymap

其中map=mymap指定使用的使用者名稱對映，並在pg_ident.conf中新增對映名稱為mymap的使用者名稱對映如下：

# MAPNAME       SYSTEM-USERNAME         PG-USERNAME
mymap                omm                                  dbAdmin
說明：

透過gs_guc reload方式修改pg_hba.conf配置可以立即生效無需重啟資料庫。直接編輯修改pg_ident.conf配置後下次連線時自動生效無需重啟資料庫。

詳情檢視：https://opengauss.org

詳情檢視：https://docs-opengauss.osinfra.cn

相關文章