PostgreSQL 认证与HBA

认证是数据库验证来访连接身份的过程。Pigsty默认使用PG的HBA机制提供访问控制。

HBA是Host Based Authentication的缩写，可以将其视作IP黑白名单。

HBA配置方式

在Pigsty中，所有实例的HBA都由配置文件生成而来，最终生成的HBA规则因实例的角色（ pg_role ）而不同。 Pigsty的HBA由下列变量控制：

每个变量都是由下列样式的规则组成的数组：

  1. - title: allow intranet admin password access
  2.   role: common
  3.   rules:
  4.     - host    all     +dbrole_admin               10.0.0.0/8          md5
  5.     - host    all     +dbrole_admin               172.16.0.0/12       md5
  6.     - host    all     +dbrole_admin               192.168.0.0/16      md5

基于角色的HBA

role = common的HBA规则组会安装到所有的实例上，而其他的取值，例如（role : primary）则只会安装至pg_role = primary的实例上。因此用户可以通过角色体系定义灵活的HBA规则。

作为特例，role: offline 的HBA规则，除了会安装至pg_role == 'offline'的实例，也会安装至 pg_offline_query == true的实例上。

HBA的渲染优先级规则为：

  • hard_coded_rules 全局硬编码规则
  • pg_hba_rules_extra.common 集群通用规则
  • pg_hba_rules_extra.pg_role 集群角色规则
  • pg_hba_rules.pg_role 全局角色规则
  • pg_hba_rules.offline 集群离线规则
  • pg_hba_rules_extra.offline 全局离线规则
  • pg_hba_rules.common 全局通用规则

默认HBA规则

在默认配置下，主库与从库会使用以下的HBA规则：

  • 超级用户通过本地操作系统认证访问
  • 其他用户可以从本地用密码访问
  • 复制用户可以从局域网段通过密码访问
  • 监控用户可以通过本地访问
  • 所有人都可以在元节点上使用密码访问
  • 管理员可以从局域网通过密码访问
  • 所有人都可以从内网通过密码访问
  • 读写用户（生产业务账号）可以通过本地（连接池）访问 （部分访问控制转交连接池处理）
  • 在从库上：只读用户（个人）可以从本地（连接池）访问。 （意味主库上拒绝只读用户连接）
  • pg_role == 'offline' 或带有pg_offline_query == true的实例上，会添加允许dbrole_offline分组用户访问的HBA规则。

默认HBA规则详情

  1. #==============================================================#
  2. # Default HBA
  3. #==============================================================#
  4. # allow local su with ident"
  5. local   all             postgres                               ident
  6. local   replication     postgres                               ident
  8. # allow local user password access
  9. local   all             all                                    md5
  11. # allow local/intranet replication with password
  12. local   replication     replicator                              md5
  13. host    replication     replicator         127.0.0.1/32         md5
  14. host    all             replicator         10.0.0.0/8           md5
  15. host    all             replicator         172.16.0.0/12        md5
  16. host    all             replicator         192.168.0.0/16       md5
  17. host    replication     replicator         10.0.0.0/8           md5
  18. host    replication     replicator         172.16.0.0/12        md5
  19. host    replication     replicator         192.168.0.0/16       md5
  21. # allow local role monitor with password
  22. local   all             dbuser_monitor                          md5
  23. host    all             dbuser_monitor      127.0.0.1/32        md5
  25. #==============================================================#
  26. # Extra HBA
  27. #==============================================================#
  28. # add extra hba rules here
  30. #==============================================================#
  31. # primary HBA
  32. #==============================================================#
  34. #==============================================================#
  35. # special HBA for instance marked with 'pg_offline_query = true'
  36. #==============================================================#
  38. #==============================================================#
  39. # Common HBA
  40. #==============================================================#
  41. #  allow meta node password access
  42. host    all     all                         10.10.10.10/32      md5
  44. #  allow intranet admin password access
  45. host    all     +dbrole_admin               10.0.0.0/8          md5
  46. host    all     +dbrole_admin               172.16.0.0/12       md5
  47. host    all     +dbrole_admin               192.168.0.0/16      md5
  49. #  allow intranet password access
  50. host    all             all                 10.0.0.0/8          md5
  51. host    all             all                 172.16.0.0/12       md5
  52. host    all             all                 192.168.0.0/16      md5
  54. #  allow local read/write (local production user via pgbouncer)
  55. local   all     +dbrole_readonly                                md5
  56. host    all     +dbrole_readonly           127.0.0.1/32         md5
  58. #==============================================================#
  59. # Ad Hoc HBA
  60. #===========================================================

修改HBA规则

HBA规则会在集群/实例初始化时自动生成。

用户可以在数据库集群/实例创建并运行后通过剧本修改并应用新的HBA规则：

  1. ./pgsql.yml -t pg_hba    # 通过-l指定目标集群
  2. bin/reloadhba <cluster>  # 重载目标集群的HBA规则

当数据库集簇目录被销毁重建后，新副本会拥有和集群主库相同的HBA规则（因为从库的数据集簇目录是主库的二进制副本，而HBA规则也在数据集簇目录中）。 这通常不是用户期待的行为。您可以使用上面的命令针对特定实例进行HBA修复。

Pgbouncer的HBA

在Pigsty中，Pgbouncer亦使用HBA进行访问控制，用法与Postgres HBA基本一致

默认的Pgbouncer HBA规则允许从本地和内网通过密码访问

  1. pgbouncer_hba_rules:                          # pgbouncer host-based authentication rules
  2.   - title: local password access
  3.     role: common
  4.     rules:
  5.       - local  all          all                                     md5
  6.       - host   all          all                     127.0.0.1/32    md5
  8.   - title: intranet password access
  9.     role: common
  10.     rules:
  11.       - host   all          all                     10.0.0.0/8      md5
  12.       - host   all          all                     172.16.0.0/12   md5
  13.       - host   all          all                     192.168.0.0/16  md5

最后修改 2022-05-27: init commit (1e3e284)