Postgresql杂谈 01—访问控制配置文件pg_hba.conf的介绍

一、文件结构介绍

       PostgresSql的访问控制文件pg_hba.conf位于/var/lib/pgsql/11/data，主要的作用是控制控制哪些IP地址可以访问数据库。

# TYPE  DATABASE        USER            METHOD
# "local" is for Unix domain socket connections only
local   all             all                                     peer
# IPv4 local connections:
host    all             all             127.0.0.1/32            ident
# IPv6 local connections:
host    all             all             ::1/128                 ident
# Allow replication connections from localhost, by a user with the
# replication privilege.
local   replication     all                                     peer
host    replication     all             127.0.0.1/32            ident
host    replication     all             ::1/128                 ident
host    all             all             0.0.0.0/0               trust

      它每一行代表一个完整的配置，每行都包含相同的几个字段，字段的含义如下

• TYPE

链接的类型，目前比较常用的链接类型主要有以下四种

• DATABASE

配置支持链接的数据库，有三种不同的配置方案：

• USER

配置进行链接的用户，需要注意的是这里是指的数据库的用户，而非操作系统的用户，如果配置了all表示接受所有数据库用户的链接。

• ADDRESS

允许或者拒绝远端链接的IP地址，TYPE配置的是local可以为空，当时TYPE配置的是host时，必须进行配置，配置的格式是 <IP/masklen>，比如配置了192.168.5.0/24，表示针对子网是192.168.5.0的所有IP都会生效。

• METHOD

认证的方法，主要有以下几种：

二、几种典型的认证配置

2.1 本地的trust认证

# TYPE      DATABASE        USER            ADDRESS                 METHO
local        all             all                                    trust

       在该配置下，在使用数据库用户登录时不会提示输入密码：

[root@VM-115-39-centos test]# psql  -p 55432 -U postgres
psql (11.8)
Type "help" for help.
postgres=# 

2.2 本地的ident认证

# TYPE      DATABASE        USER            ADDRESS                 METHO
local            all                      all                       ident

        这种认证模式下，如果再使用2.1中的链接命令，会发现提示错误：

[root@VM-115-39-centos data]# psql  -p 55432 -U postgres
psql: FATAL:  Peer authentication failed for user "postgres"

       从这个错误中，我们可以看到，提示的是Peer authentication failed，这是因为，实际上我们再本地配置的METHOD设置为trust时，它实际会被替换成peer认证，也就是说再TYPE为local时，设置METHOD为ident和peer的效果是一致的。此时我们需要先以postgres的身份登录，然后才能链接服务端：

[root@VM-115-39-centos data]# su - postgres
Last login: Thu Jun 10 16:19:23 CST 2021 on pts/1
[postgres@VM-115-39-centos ~]psql -p 55432
psql (11.8)
Type "help" for help.
postgres=# 

       这里还要注意一下，在终端中切换到postgres用户登录时，我们要使用su - postgres 而不能使用su postgres，因为后者只是用户身份的切换，不会改变当前工作目录以及HOME,SHELL,USER,LOGNAME。

2.3 本地的MD5认证

# TYPE      DATABASE        USER            ADDRESS                 METHO
local        all             all                                    md5

      在此种认证方式下，在本地登录时会提示要输入密码：

[root@VM-115-39-centos /var/lib/pgsql/11/data]psql -p 55432 -U postgres
Password for user postgres: 

2.4 本地的指定用户认证

# TYPE      DATABASE        USER            ADDRESS                 METHO
local        all             test                                    md5

       使用这种方式，只能使用名为test的用户进行登录，在使用postgres用户进行登录时会报错

[root@VM-115-39-centos /var/lib/pgsql/11/data]psql -p 55432 -U postgres
psql: FATAL:  no pg_hba.conf entry for host "[local]", user "postgres", database "postgres", SSL off

2.5 远程的配置所有IP可信任

      接下来，我们演示一个非常危险的配置：

# TYPE      DATABASE        USER            ADDRESS                 METHO
host         all            all             0.0.0.0/0               trust

       在这种方式下，在远程任何一台客户端上都能使用psql进行登录，而且不会提示密码，如下，我在一台主机上在没有密码的情况下登录了数据库服务器：

[root@localhost ~]# psql -h xxxxxx -p xxxxx -U postgres
psql (11.5,11.8)
postgres=# 

2.6 远程的配置所有IP可MD5认证

# TYPE      DATABASE        USER            ADDRESS                 METHO
host         all            all             0.0.0.0/0               md5

       这种认证方式，要求远程客户端链接服务器时要输入密码：

[root@localhost ~]# psql -h xxxxxx -p xxxx -U postgres
用户 postgres 的口令：