gaussdb 数据库用户和安全管理【客户端接入认证】【02】_gauss200远程接入 pg_hba.conf

1. 配置客户端接入认证

客户端接入认证是由一个配置文件（默认名称为pg_hba.conf）控制的，它存放在数据库的数据目录里。hba（host-based authentication）表示是基于主机的认证。

背景信息
GaussDB支持如下三种认证方式，无论哪种认证方式，都需要配置pg_hba.conf文件。

• 基于主机的认证：服务器端根据客户端的IP地址、用户名及要访问的数据库来查看配置文件从而判断用户是否通过认证。
• 口令认证：包括远程连接的加密口令认证和本地连接的非加密口令认证。
• SSL加密：使用VPP SSL提供服务器端和客户端安全连接的环境。
• pg_hba.conf文件的格式是一个记录写在一行，表示一个认证规则，空白和注释（#开头）被忽略。
• 每个认证规则是由若干空格和/或制表符分隔的字段组成。如果字段用引号包围，则它可以包含空白。记录不能跨行存在。

pg_hba.conf文件中的每条记录可以是下面四种格式之一，四种格式的参数说明请参见配置文件参考。

local     DATABASE USER METHOD [OPTIONS]
host      DATABASE USER ADDRESS METHOD [OPTIONS]
hostssl   DATABASE USER ADDRESS METHOD [OPTIONS]
hostnossl DATABASE USER ADDRESS METHOD [OPTIONS]
1
2
3
4

因为认证时系统是为每个连接请求顺序检查pg_hba.conf里的记录的，所以这些记录的顺序是非常关键的。

因此对于认证规则的配置建议如下：

• 靠前的记录有比较严格的连接参数和比较弱的认证方法。
• 靠后的记录有比较宽松的连接参数和比较严格的认证方法。

说明：
一个用户要想成功连接到特定的数据库，不仅需要通过pg_hba.conf中规则的检查，还必须要有该数据库上的CONNECT权限。如果希望限制哪些用户能够连接到哪些数据库，赋予/撤销CONNECT权限通常比在pg_hba.conf中设置规则更为简单。

重启数据库服务使配置生效。

gs_ctl restart
1

• 表1 错误提示

• 任务示例

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# "local" is for Unix domain socket connections only
#表示只允许以安装时-U参数指定的用户从服务器本机进行连接
local    	all             all                                     trust
# IPv4 local connections:
#表示允许gaussdba用户从10.10.10.2主机上连接到GaussDB的任意数据库，使用sha256算法对密码进行加密
host     	all           	gaussdba        10.10.10.2/32         	sha256
#表示允许任何用户从10.0.0.0/8网段的主机上连接到GaussDB的任意数据库，使用sha256算法对密码进行加密
hostssl    	all             all             10.0.0.0/8            	sha256
1
2
3
4
5
6
7
8
9
10

2. 配置文件参考

表1 参数说明

表2 认证方式