客户端认证#

OushuDB 支持以不同方式认证客户端。

pg_hba.conf#

客户端认证是由一个配置文件(通常名为pg_hba.conf)控制的，它存放在数据库集群 main 节点的数据目录里。HBA的意思是”host-based authentication”，也就是基于主机的认证。在initdb初始化数据目录的时候，它会安装一个缺省的pg_hba.conf文件。不过我们也可以把认证配置文件放在其它地方；参阅hba_file配置参数。修改之后需要同步到所有主节点。

pg_hba.conf文件的常用格式是一组记录，每行一条。空白行将被忽略，#开头的注释也被忽略。一条记录是由若干用空格和/或制表符分隔的字段组成。如果字段用引号包围，那么它可以包含空白。记录不能跨行存在。

每条记录声明一种连接类型、一个客户端 IP 地址范围(如果和连接类型相关的话)、一个数据库名、一个用户名字、对匹配这些参数的连接使用的认证方法。第一条匹配连接类型、客户端地址、连接请求的数据库名和用户名的记录将用于执行认证。这个处理过程没有 “跨越”或者”回头”的说法：如果选择了一条记录而且认证失败，那么将不再考虑后面的记录。如果没有匹配的记录，那么访问将被拒绝。

每条记录可以是下面七种格式之一：

local      <database>  <user>  <auth-method>  [<auth-options>]
host       <database>  <user>  <address>  <auth-method>  [<auth-options>]
hostssl    <database>  <user>  <address>  <auth-method>  [<auth-options>]
hostnossl  <database>  <user>  <address>  <auth-method>  [<auth-options>]
host       <database>  <user>  <IP-address>  <IP-mask>  <auth-method>  [<auth-options>]
hostssl    <database>  <user>  <IP-address>  <IP-mask>  <auth-method>  [<auth-options>]
hostnossl  <database>  <user>  <IP-address>  <IP-mask>  <auth-method>  [<auth-options>]

各个字段的含义如下：

local

这条记录匹配企图通过 Unix 域套接字进行的连接。没有这种类型的记录，就不允许 Unix 域套接字的连接。
host

这条记录匹配企图通过 TCP/IP 进行的连接。host记录匹配 SSL和非SSL的连接请求。

注：除非服务器带着合适的listen_addresses配置参数值启动，否则将不可能进行远程的 TCP/IP 连接，因为缺省的行为是只监听本地自环地址localhost的连接。默认情况下 OushuDB 接收来自任意主机的连接。
hostssl

这条记录匹配企图使用 SSL 加密的 TCP/IP 连接。

要使用这个选项，编译服务器的时候必须打开SSL支持。而且在服务器启动的时候必须打开ssl配置选项(参阅用 SSL 进行安全的 TCP/IP 连接 )。
hostnossl

匹配不使用 SSL 加密的 TCP/IP 连接。
database

声明记录所匹配的数据库名称。值 all 表明该记录匹配所有数据库，值 sameuser 表示如果被请求的数据库和请求的用户同名，则匹配。值 samerole 表示请求的用户必须是一个与数据库同名的角色中的成员。 ( samegroup 是一个已经废弃了，但目前仍然被接受的 samerole 同义词。) 在其它情况里，这就是一个特定的 OushuDB 数据库的名字。可以通过用逗号分隔的方法声明多个数据库，也可以通过前缀@来声明一个包含数据库名的文件。
user

指定此记录匹配的数据库角色名称。值all指定它匹配所有角色。如果指定的角色是一个组，并且您希望包括该组的所有成员，请在角色名称前加上+。可以通过用逗号分隔它们来提供多个角色名称。可以通过在文件名前加上@来指定包含角色名称的单独文件。。
address

声明这条记录匹配的客户端机器IP地址范围。该地址用标准点分十进制声明并带有CIDR掩码长度。（IP地址只能被声明为数字，无法作为域名或主机名。）掩码长度表示客户端 IP 地址必须匹配的高位二进制位数。在给出的 IP 地址里，这个长度的右边的二进制位应该为零。在 IP 地址、/、 CIDR 掩码长度之间不能有空白。

典型的这种方式指定的IP地址范围举例：172.20.143.89/32表示一个主机， 172.20.143.0/24表示一个小子网，10.6.0.0/16 表示一个大子网。要声明单个主机，给 IPv4 地址声明 CIDR 掩码 32 ，给 IPv6 地址声明 128 。不要在地址中省略结尾的 0 。

以 IPv4 格式给出的 IP 地址只会匹配 IPv4 连接，一个以 IPv6 格式给出的记录将只匹配 IPv6 连接，即使对应的地址在 IPv4-in-IPv6 范围内。请注意如果系统的 C 库不支持 IPv6 地址，那么 IPv6 的格式将被拒绝。

您还可以写入all来匹配任何IP地址，samehost来匹配服务器的任何自身IP地址，或samenet来匹配服务器直接连接到的任何子网中的任何地址。

如果指定了主机名（不是IP地址、IP范围或特殊关键字的地址被视为主机名），则会将该名称与客户端IP地址的反向名称解析结果进行比较（例如，如果使用DNS，则进行反向DNS查找）。主机名比较不区分大小写。如果匹配成功，则会对主机名执行正向名称解析（例如，正向DNS查找），以检查它解析到的任何地址是否与客户端IP地址相等。如果两个方向都匹配，则该条目被视为匹配。

在pg_hba.conf中使用的主机名应该是客户端IP地址的地址通过名称解析返回的名称，否则该行将不会匹配。一些主机名数据库允许将IP地址与多个主机名相关联，但操作系统在请求解析IP地址时只会返回一个主机名。

以点（.）开头的主机名规范匹配实际主机名的后缀。因此，.example.com将匹配foo.example.com（而不只是example.com）。

当在pg_hba.conf中指定主机名时，您应该确保名称解析相当快。设置本地名称解析缓存（如nscd）。此外，您可以启用服务器配置参数log_hostname，以便在日志中查看客户端主机名而不是IP地址。
IP-address & IP-mask

这些方法可以用于作为 CIDR-address 表示法的替补。它不是声明掩码的长度，而是在另外一个字段里声明实际的掩码。比如，255.0.0.0表示 IPv4 CIDR 掩码长度 8 ，而255.255.255.255表示 CIDR 掩码长度 32 。
auth-method

声明连接匹配这条记录的时候使用的认证方法。可能的选择在下面简介。
- trust: 无条件地允许连接。这个方法允许任何可以与OushuDB 数据库服务器连接的用户以他们期望的任意OushuDB 数据库用户身份进行连接，而不需要口令或任何其他认证。参阅信任认证获取细节。
- reject: 无条件地拒绝连接。常用于从一个组中”过滤”某些主机。
- md5: 要求客户端提供一个 MD5 加密的口令进行认证。参阅口令认证获取细节。
- password: 要求客户端提供一个未加密的口令进行认证。因为口令是以明文形式在网络上传递的，所以我们不应该在不安全的网络上使用这个方式,也不应该在有威胁的客户端应用中使用。参阅口令认证获取细节
- krb5: 用 Kerberos V5 认证用户。只有在进行 TCP/IP 连接的时候才能用。参阅 Kerberos认证获取细节。
- ident 获取客户的操作系统名然后检查该用户是否匹配连接要求的数据库用户名，方法是用户的身份通过与运行在客户端上的 ident 服务器连接进行判断的。通过从操作系统获取本地连接来获得TCP/IP连接。参阅基于Ident的认证获取细节。
- ldap: 使用LDAP中心服务器进行认证。参阅 LDAP 认证获取细节。
- pam: 使用操作系统提供的可插入认证模块服务(PAM)来认证。参阅 PAM 认证获取细节。
auth-options: 此可选字段的含义取决于所选的身份验证方法。详情见 auth-method 项。

用@构造包含的文件是当作一列名字读取的，这些名字可以用空白或者逗号分隔。注释用#引入，就像在pg_hba.conf里那样，允许嵌套@构造。除非跟在@后面的文件名是一个绝对路径，否则被当作与该文件所在目录相对的路径。

因为认证时系统是为每个连接请求顺序检查pg_hba.conf里的记录的，所以这些记录的顺序是非常关键的。通常，靠前的记录有比较严的连接匹配参数和比较弱的认证方法，而靠后的记录有比较松的匹配参数和比较严的认证方法。比如，我们一般都希望对本地 TCP/IP 连接使用 trust认证，而对远端的 TCP/IP 连接要求口令。在这种情况下我们将trust 认证方法用于来自 127.0.0.1 的连接，这条记录将出现在允许更广泛的客户端 IP 地址的使用口令认证的记录前面。

在启动和主服务器进程收到SIGHUP 信号的时候，系统都会重新装载pg_hba.conf文件。如果你在活跃的系统上编辑了该文件，就必须通知主服务器(oushudb reload 或kill -HUP)重新加载该文件。

一个用户要想成功连接到特定的数据库，不仅需要通过pg_hba.conf的检查，还必须要有该数据库上的CONNECT权限。如果希望限制哪些用户能够连接到哪些数据库，赋予/撤销CONNECT权限通常比在pg_hba.conf中设置规则简单。

下面是pg_hba.conf记录的一些例子。阅读下文理解不同认证方法的细节。

# 允许任何用户在本地系统上连接任何数据库
# 允许在本机上的任何用户使用 Unix 域套接字(本地连接的缺省)
#
# TYPE  DATABASE        USER            ADDRESS                 METHOD
local   all             all                                     trust

# 和上面相同，但是使用的是回环的(loopback)TCP/IP 连接
#
# TYPE  DATABASE        USER            ADDRESS                 METHOD
host    all             all             127.0.0.1/32            trust

# 和上面一行相同，但是用的是独立的子网掩码字段
#
# TYPE  DATABASE        USER            IP-ADDRESS      IP-MASK             METHOD
host    all             all             127.0.0.1       255.255.255.255     trust

# 允许 IP 地址为 192.168.93.x 的任何主机与 "postgres" 数据库相连，
# 用与他们在自己的主机上相同 ident 的用户名标识他自己(通常是他的操作系统用户名)
#
# TYPE  DATABASE        USER            ADDRESS                 METHOD
host    postgres        all             192.168.93.0/24         ident

# 允许来自主机 192.168.12.10 的用户提供了正确的口令之后与 "postgres" 数据库连接。
#
# TYPE  DATABASE        USER            ADDRESS                 METHOD
host    postgres        all             192.168.12.10/32        md5

# 如果前面没有其它 "host" 行，那么下面两行将拒绝所有来自 192.168.54.1 的连接请求(因为前面的记录先匹配)。
# 但是允许来自互联网上其它任何地方的有效的 Kerberos 5 认证的连接。
# 零掩码引起不考虑主机 IP 的任何位。因此它匹配任何主机。
#
# TYPE  DATABASE        USER            ADDRESS                 METHOD
host    all             all             192.168.54.1/32         reject
host    all             all             0.0.0.0/0               krb5

# 允许来自 192.168.x.x 的任何用户与任意数据库连接，只要他们通过 ident 检查。
# 但如果 ident 说该用户是 "bryanh" 且他要求以 OushuDB 用户 "guest1" 连接，
# 那么只有在 pg_ident.conf 里有 "omicron" 的映射说 "bryanh" 允许以 "guest1" 进行连接时才真正可以进行连接。
#
# TYPE  DATABASE        USER            ADDRESS                 METHOD
host    all             all             192.168.0.0/16          ident map=omicron

# 如果下面是用于本地连接的仅有的三行，那么它们将允许本地用户只和同名数据库连接。
# 只有管理员和 "support" 角色里的成员例外，他们可以连接到任何数据库。
# $PGDATA/admins 文件列出了那些允许与所有数据库连接的用户名。
# 在所有情况下都需要口令。
#
# TYPE  DATABASE        USER            ADDRESS                 METHOD
local   sameuser        all                                     md5
local   all             @admins                                 md5
local   all             +support                                md5

# 上面最后两行可以合起来写成一行
local   all             @admins,+support                        md5

# 数据库字段也可以使用列表和文件名：
local   db1,db2,@demodbs  all                                   md5

认证方法#

trust#

如果声明了trust认证模式，OushuDB 就假设任何可以连接到服务器的人都可以以任何他声明的数据库用户名(甚至超级用户名)连接。当然，在database和user字段里面的限制仍然适用。这个方法应该用于那些在连接到服务器已经有足够操作系统层次保护的环境里。

trust认证对于单用户工作站的本地连接是非常合适和方便的。通常它本身并不适用于多用户环境的机器。不过，即使在多用户的机器上，你也可以使用trust，只要你利用文件系统权限限制了对服务器的 Unix 域套接字文件的访问。要做这些限制，你可以设置unix_socket_permissions参数(以及可能还有 unix_socket_group)，就像连接和认证里描述的那样。或者你可以设置unix_socket_directories，把 Unix 域套接字文件放在一个经过恰当限制的目录里。

设置文件系统权限只能帮助 Unix 套接字连接，它不会限制本地 TCP/IP 连接。因此，如果你想利用文件系统权限来控制本地安全，那么删除pg_hba.conf文件中的 host … 127.0.0.1 …行，或者把它改为一个非trust的认证方法。

trust认证模式只适合 TCP/IP 连接，只有在你信任那些trust 行上所有机器中的所有用户的时候才是合适的。很少有理由使用trust作为任何除来自localhost (127.0.0.1) 以外的 TCP/IP 连接的认证方式。

口令认证#

以口令为基础的认证方法包括md5,crypt和password。这些方法操作上非常类似，只不过口令通过连接传送的方法不同：分别是MD5 哈希、crypt加密、明文。有一个限制是crypt方法不适用于pg_authid已经加密的口令。

如果你担心口令被”窃听”，那么md5比较合适。在开放网络中应该尽可能避免使用password（除非你使用SSL，SSH等）。

OushuDB 数据库口令与任何操作系统用户口令无关。各个数据库用户的口令是存储在pg_authid系统表里面。口令可以用 SQL 语言命令CREATE USER和ALTER ROLE 等管理(比如CREATE USER foo WITH PASSWORD ‘secret’)。如果没有明确设置口令，那么存储的口令是空并且该用户的口令认证总会失败。

LDAP 身份验证#

请参考 LDAP 认证

PAM 认证#

除了使用PAM（可插入认证模块）作为认证机制之外，此认证方法与密码类似。默认的PAM服务名称是postgresql。您可以选择在pg_hba.conf文件中的pam关键字之后提供您自己的服务名称。 PAM仅用于验证用户名/密码对。因此，在PAM可以用于认证之前，用户必须已经存在于数据库中。有关PAM的更多信息，请阅读Linux-PAM页面和Solaris PAM页面。

SSL#

请参考 SSL 配置章节

OushuDB 产品文档

客户端认证

本页目录