By

总阅读 次

文章目录
  1. 1. PostgreSQL的pg_hba.conf文件讲解
    1. 1.0.1. TYPE，有4个值
    2. 1.0.2. DATABASE
    3. 1.0.3. USER
    4. 1.0.4. ADDRESS
    5. 1.0.5. METHOD

PostgreSQL的pg_hba.conf文件讲解

pg_hba.conf为PostgreSQL的访问策略配置文件，默认位于/var/lib/pgsql/10/data/目录（PostgreSQL10）。
该配置文件有5个参数，分别为：TYPE（主机类型）、DATABASE（数据库名）、USER（用户名）、ADDRESS（IP地址和掩码）、METHOD（加密方法）

TYPE，有4个值

1
2
3
4
local：使用Unix-domainsocket
host：使用TCP/IP连接，可以是SSL的，也可以不是
hostssl：必须是SSL的
hostnossl：必须是非SSL的

DATABASE

数据库名，可以是”all”, “sameuser”, “samerole”, “replication”。all表示所有，但不包括replication。多个数据库用“,”隔开。

USER

用户名，可以为”all”，表示所有，也可以具体指定一个用户。多个用户用“,”隔开。和DATABASE一样，也可以将配置放到文件中，文件名加上前缀@

ADDRESS

可以是为一个主机名，或者由IP地址和CIDR掩码组成。掩码可以为0-32（IPv4）或者0-128（IPv6）间的一个整数，32表示子网掩码为255.255.255.255，24表示子网掩码为255.255.255.0。主机名以“.”开头。samehost可以匹配所有主机、samenet可以匹配同一个掩码内的所有主机。
例：192.168.10.122/32表示单一主机，192.168.10.0/24表示192.168.0.1~192.168.0.255网段内所有主机，0.0.0.0/0表示所有主机。

METHOD

密码加密策略，password表示以明文方式发送密码，md5和scram-sha-256会以对应的方式加密再发送密码。
ident是Linux下PostgreSQL默认的local认证方式，
获取客户的操作系统名（对于 TCP/IP 联接，用户的身份是通过与运行在客户端上的 ident 服务器联接进行判断的，对于本地联接，它是从操作系统获取的。） 然后检查一下，看看用户是否允许以要求的数据库用户进行联接， 方法是参照在 ident 关键字后面声明的映射。
凡是能正确登录服务器的操作系统用户（注：不是数据库用户）就能使用本用户映射的数据库用户不需密码登录数据库。用户映射文件为pg_ident.conf，这个文件记录着与操作系统用户匹配的数据库用户，如果某操作系统用户在本文件中没有映射用户，则默认的映射数据库用户与操作系统用户同名。比如，服务器上有名为user1的操作系统用户，同时数据库上也有同名的数据库用户，user1登录操作系统后可以直接输入psql，以user1数据库用户身份登录数据库且不需密码。很多初学者都会遇到psql -U username登录数据库却出现“username ident 认证失败”的错误，明明数据库用户已经createuser。原因就在于此，使用了ident认证方式，却没有同名的操作系统用户或没有相应的映射用户。解决方案：在pg_ident.conf中添加映射用户
host all all 127.0.0.1/32 ident username // username表示某个没有建立映射的用户 ，不写默认可以用postgres用户登录，postgres用户安装的时候自动创建，相当于mysql的root用户
md5是常用的密码认证方式，如果你不使用ident，最好使用md5。密码是以md5形式传送给数据库，较安全，且不需建立同名的操作系统用户。
比如客户端pgAdmin III 需要连接数据库就需要配置
host all all 0.0.0.0/0 md5
trust
无条件地允许联接。这个方法允许任何可以与PostgreSQL 数据库服务器联接的用户以他们期望的任意 PostgreSQL 数据库用户身份进行联接，而不需要口令。建议测试用
reject
联接无条件拒绝。常用于从一个组中”过滤”某些主机。
crypt
要求客户端提供一个 crypt() 加密的口令用于认证。 7.2 以前的客户端只能支持 crypt。 对于 7.2 以及以后的客户端，我们建议使用 md5。
password
要求客户端提供一个未加密的口令进行认证。 因为口令是以明文形式在网络上传递的， 所以我们不应该在不安全的网络上使用这个方式。建议测试用
krb4
用 Kerberos V4 认证用户。只有在进行 TCP/IP 联接的时候才能用。 （译注：Kerberos，”克尔波洛斯”，故希腊神话冥王哈得斯的多头看门狗。 Kerberos 是 MIT 开发出来的基与对称加密算法的认证协议和/或密钥交换方法。 其特点是需要两个不同用途的服务器，一个用于认证身份， 一个用于通道两端用户的密钥交换。同时 Kerberos 对网络时间同步要求比较高，以防止回放攻击，因此通常伴随 NTP 服务。）
krb5
用 Kerberos V5 认证用户。只有在进行 TCP/IP 联接的时候才能用。 （译注：Kerberos V5 是上面 V4 的改良，主要是不再依赖 DES 算法， 同时增加了一些新特性。）
pam
使用操作系统提供的可插入的认证模块服务 （Pluggable Authentication Modules） （PAM）来认证。

文章目录
  1. 1. PostgreSQL的pg_hba.conf文件讲解
    1. 1.0.1. TYPE，有4个值
    2. 1.0.2. DATABASE
    3. 1.0.3. USER
    4. 1.0.4. ADDRESS
    5. 1.0.5. METHOD