openGauss学习笔记-98 openGauss 数据库管理-管理数据库安全-客户端接入认证之配置客户端接入认证

news2025/2/23 3:06:16

文章目录

    • openGauss学习笔记-98 openGauss 数据库管理-管理数据库安全-客户端接入认证之配置客户端接入认证
      • 98.1 背景信息
      • 98.2 操作步骤
      • 98.3 异常处理
      • 98.4 示例

openGauss学习笔记-98 openGauss 数据库管理-管理数据库安全-客户端接入认证之配置客户端接入认证

98.1 背景信息

如果主机需要远程连接数据库，必须在数据库系统的配置文件中增加此主机的信息，并且进行客户端接入认证。配置文件（默认名称为pg_hba.conf）存放在数据库的数据目录里。hba（host-based authentication）表示是基于主机的认证。

  • 本产品支持如下三种认证方式，这三种方式都需要配置“pg_hba.conf”文件。
    • 基于主机的认证：服务器端根据客户端的IP地址、用户名及要访问的数据库来查看配置文件从而判断用户是否通过认证。
    • 口令认证：包括远程连接的加密口令认证和本地连接的非加密口令认证。
    • SSL加密：使用OpenSSL（开源安全通信库）提供服务器端和客户端安全连接的环境。
  • “pg_hba.conf”文件的格式是一行写一条信息，表示一个认证规则，空白和注释（以#开头）被忽略。
  • 每个认证规则是由若干空格和/，空格和制表符分隔的字段组成。如果字段用引号包围，则它可以包含空白。一条记录不能跨行存在。

98.2 操作步骤

1.以操作系统用户omm登录数据库主节点。

2.配置客户端认证方式，允许客户端以“jack”用户连接到本机，此处远程连接禁止使用“omm”用户（即数据库初始化用户）。

例如，下面示例中配置允许IP地址为10.10.0.30的客户端访问本机。

gs_guc set -N all -I all -h "host all jack 10.10.0.30/32 sha256"

img 说明：

  • 使用“jack”用户前，需先本地连接数据库，并在数据库中使用如下语句建立“jack”用户：
CREATE USER jack PASSWORD 'Test@123';
  • -N all表示openGauss的所有主机。
  • -I all表示主机的所有实例。
  • -h表示指定需要在“pg_hba.conf”增加的语句。
  • all表示允许客户端连接到任意的数据库。
  • jack表示连接数据库的用户。
  • 10.10.0.30/32表示只允许IP地址为10.10.0.30的主机连接。此处的IP地址不能为openGauss内的IP，在使用过程中，请根据用户的网络进行配置修改。32表示子网掩码为1的位数，即255.255.255.255。
  • sha256表示连接时jack用户的密码使用sha256算法加密。

这条命令在数据库主节点实例对应的“pg_hba.conf”文件中添加了一条规则，用于对连接数据库主节点的客户端进行鉴定。

“pg_hba.conf”文件中的每条记录可以是下面四种格式之一，四种格式的参数说明请参见配置文件参考。

local     DATABASE USER METHOD [OPTIONS]
host      DATABASE USER ADDRESS METHOD [OPTIONS]
hostssl   DATABASE USER ADDRESS METHOD [OPTIONS]
hostnossl DATABASE USER ADDRESS METHOD [OPTIONS]

因为认证时系统是为每个连接请求顺序检查“pg_hba.conf”里的记录的，所以这些记录的顺序是非常关键的。

img 说明：

  • 在配置“pg_hba.conf”文件时，请依据通讯需求按照格式内容从上至下配置记录，优先级高的需求需要配置在前面。openGauss和扩容配置的IP优先级最高，用户手动配置的IP请放在这二者之后，如果已经进行的客户配置和扩容节点的IP在同一网段，请在扩容前删除，扩容成功后再进行配置。

因此对于认证规则的配置建议如下： 靠前的记录有比较严格的连接参数和比较弱的认证方法。靠后的记录有比较宽松的连接参数和比较强的认证方法。

img 说明：

  • 一个用户要想成功连接到特定的数据库，不仅需要通过pg_hba.conf中的规则检查，还必须要有该数据库上的CONNECT权限。如果希望控制某些用户只能连接到指定数据库，赋予/撤销CONNECT权限通常比在pg_hba.conf中设置规则更为简单。
  • 对应openGauss外部客户端连接，trust为不安全的认证方式，请将认证方式设置为sha256。

98.3 异常处理

用户认证失败有很多原因，通过服务器返回给客户端的提示信息，可以看到用户认证失败的原因。常见的错误提示请参见表1。

表 1 错误提示

问题现象解决方法
用户名或密码错误：FATAL: invalid username/password,login denied这条信息说明用户名或者密码错误，请检查输入是否有误。
连接的数据库不存在：FATAL: database "TESTDB" does not exist这条信息说明尝试连接的数据库不存在，请检查连接的数据库名输入是否有误。
未找到客户端匹配记录：FATAL: no pg_hba.conf entry for host "10.10.0.60", user "ANDYM", database "TESTDB"这条信息说明已经连接了服务器，但服务器拒绝了连接请求，因为没有在它的pg_hba.conf配置文件里找到匹配的记录。请联系数据库管理员在pg_hba.conf配置文件加入用户的信息。
未找到客户端匹配记录：failed to connect 10.10.0.1:12000. 这条信息说明无法连接到指定IP和端口的服务器，请联系数据库管理员检查pg_hba.conf配置文件里是否有配置对应IP白名单。
连接时的用户名不可以包含@字符@ can't be allowed in username这条报错说明客户端在连接数据库时使用了包含@的用户名，这是不允许的。

98.4 示例

TYPE  DATABASE        USER            ADDRESS                 METHOD

"local" is for Unix domain socket connections only
#表示只允许以安装时-U参数指定的用户从服务器本机进行连接。
local   all             all                                     trust
IPv4 local connections:
#表示允许jack用户从10.10.0.50主机上连接到任意数据库，使用sha256算法对密码进行加密。
host    all           jack             10.10.0.50/32            sha256
#表示允许任何用户从10.10.0.0/24网段的主机上连接到任意数据库，使用sha256算法对密码进行加密，并且经过SSL加密传输。
hostssl    all             all             10.10.0.0/24            sha256
#表示禁止任何用户从10.10.0.1/32网段的主机上连接到任意数据库。 
host    all             all             10.10.0.1/32            reject

👍 点赞，你的认可是我创作的动力！

⭐️ 收藏，你的青睐是我努力的方向！

✏️ 评论，你的意见是我进步的财富！

图片

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1088744.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

用 docker 创建 jmeter 容器, 实现性能测试，该如何下手？

用 docker 创建 jmeter 容器, 实现性能测试，该如何下手？

用 docker 创建 jmeter 容器, 实现性能测试 我们都知道，jmeter可以做接口测试，也可以用于性能测试，现在企业中性能测试也大多使用jmeter。docker是最近这些年流行起来的容器部署工具，可以创建一个容器，然后把项目放到…
阅读更多...
开源数据库MySQL 8.0 OCP认证精讲视频、环境和题库 之三 选项、变量

开源数据库MySQL 8.0 OCP认证精讲视频、环境和题库 之三 选项、变量

选项文件：默认/etc/my.cnf 可以通过以下选项，指定选项文件： -defaults-file：指定选项文件 例如:mysql--defaults-file/etc/my.cnf -no-defaults：不读任何选项文件，所有选项需要在命令行中指定 -defaults-ex…
阅读更多...
在Vue+Ts+Vite项目中如何配置别名指向不同的目录并引用

在Vue+Ts+Vite项目中如何配置别名指向不同的目录并引用

在VueTsVite项目中如何配置别名指向不同的目录并引用 vite.config.ts配置如下：tsconfig.json中需要配置baseUrl和paths,如下所示：项目中直接引入案例： vite.config.ts配置如下： import { defineConfig, AliasOptions } from vite…
阅读更多...
FPGA project : flash_secter_erase

FPGA project : flash_secter_erase

flash的指定扇区擦除实验。 先发写指令，再进入写锁存周期等待500ns，进入写扇区擦除指令，然后写扇区地址，页地址，字节地址。即可完成扇区擦除。 模块框图： 时序图： 代码： module…
阅读更多...
后厂村路灯：苹果签名是什么？ 苹果签名有什么作用？苹果签名能做什么？原理是什么？有哪些方式？

后厂村路灯：苹果签名是什么？ 苹果签名有什么作用？苹果签名能做什么？原理是什么？有哪些方式？

苹果签名是苹果公司为了保证iOS设备安全性而推出的一种机制。 当ios APP辛苦开发完成后，通常去苹果商店进行上架，用户才能下载，不能上架或者上架前测试的话，进行签名使之可以下载。简单说，苹果的ios签名是一种允许苹果…
阅读更多...
香港服务器选纯国际线路上网稳定吗？

香港服务器选纯国际线路上网稳定吗？

​　　关于香港服务器的线路，我们平时接触较多的分三大类，即纯国际线路、回国专线和香港本地线路。三者价格上存有差距，原因体现在线路和网络质量上，当然这些会关系到服务器的速度和稳定性。譬如，有些用户在选择了纯国…
阅读更多...
部署zabbix代理服务器、部署zabbix高可用集群

部署zabbix代理服务器、部署zabbix高可用集群

目录 部署zabbix代理服务器 1、环境设置 2、设置 zabbix 的下载源，安装 zabbix-proxy 3、配置Mariadb yum源，并下载marisdb数据库 4.、启动数据库，并初始化数据库 5、登录数据库，创建数据库并指定字符集，并进行…
阅读更多...
怎样制作一个展会场馆预约小程序

怎样制作一个展会场馆预约小程序

随着互联网的发展，展会行业也逐渐向数字化转型。展会场馆预约小程序作为展会线下向线上的延伸，能够让参展商和观众随时随地进行预约，大大提升了客户的体验。那么，如何制作一个展会场馆预约小程序呢？下面就以乔拓云平台…
阅读更多...
迷你Ceph集群搭建（超低配设备）

迷你Ceph集群搭建（超低配设备）

我的博客原文链接：https://blog.gcc.ac.cn/post/2023/%E8%BF%B7%E4%BD%A0ceph%E9%9B%86%E7%BE%A4%E6%90%AD%E5%BB%BA/ 环境 机器列表： IP角色说明10.0.0.15osdARMv7，512M内存，32G存储，百兆网口10.0.0.16clientARM64…
阅读更多...
分享关于msvcp110dll丢失的5种不同解决方法

分享关于msvcp110dll丢失的5种不同解决方法

今天我要和大家分享的主题是：msvcp110dll丢失的5种不同解决方法。我们都知道，在电脑使用过程中，经常会遇到一些棘手的问题，比如msvcp110.dll丢失。那么，这个文件丢失到底是什么意思呢？接下来，我…
阅读更多...
Python数据挖掘项目实战——自动售货机销售数据分析

Python数据挖掘项目实战——自动售货机销售数据分析

摘要：本案例将主要结合自动售货机的实际情况，对销售的历史数据进行处理，利用pyecharts库、Matplotlib库进行可视化分析，并对未来4周商品的销售额进行预测，从而为企业制定相应的自动售货机市场需求分析及销售建议提供参…
阅读更多...
国内常用源开发环境换源(flutter换源，python换源，Linux换源，npm换源)

国内常用源开发环境换源(flutter换源，python换源，Linux换源，npm换源)

flutter换源 使用环境变量:PUB_HOSTED_URL FLUTTER_STORAGE_BASE_URL， upgrade出问题时可能会提示设置FLUTTER_GIT_URL变量。 flutter中国 PUB_HOSTED_URLhttps://pub.flutter-io.cn FLUTTER_STORAGE_BASE_URLhttps://storage.flutter-io.cn FLUTTER_GIT_URLhtt…
阅读更多...
高并发下的服务容错

高并发下的服务容错

在微服务架构中，我们将业务拆分成一个个的服务，服务与服务之间可以相互调用，但是由于网络 原因或者自身的原因，服务并不能保证服务的100%可用，如果单个服务出现问题，调用这个服务就会 出现网络延迟&#xf…
阅读更多...
C# OCR服务测试程序

C# OCR服务测试程序

效果 项目 代码 using NLog; using RestSharp; using RestSharp.Contrib; using System; using System.Drawing; using System.IO; using System.Net; using System.Text; using System.Threading; using System.Threading.Tasks; using System.Windows.Forms;namespace OCRSe…
阅读更多...
解决react样式组合时css module动态样式失效的问题

解决react样式组合时css module动态样式失效的问题

现象&#xff1a; <button disabled{invalid} className{ "btn btn-primary btn-lg" invalid ? styles.btnDisabled : "" } > 注册 </button> 上面采用字符串拼接的方式&#xff0c;组合class&#xff0c;但是css module的动态样式style…
阅读更多...
docker部署-Linux

docker部署-Linux

Docker yum源部署 YUM源可以使用官方YUM源、清华大学开源镜像站配置YUM源&#xff0c;也可以使用阿里云开源镜像站提供的YUM源&#xff0c;建议选择使用阿里云开源镜像站提供的YUM源&#xff0c;原因速度快。 获取阿里云开源镜像站YUM源文件 地址&#xff1a;https://develope…
阅读更多...
探索RFID技术在新能源电池中的应用及其潜在优势

探索RFID技术在新能源电池中的应用及其潜在优势

探索RFID技术在新能源电池中的应用及其潜在优势 随着科技的发展&#xff0c;新能源电池已成为现代社会能源供应的重要一环。而在新能源电池的生产、运输、存储和回收等各个环节中&#xff0c;RFID&#xff08;无线射频识别&#xff09;技术的应用&#xff0c;无疑为提高效率、…
阅读更多...
二叉树查找值为x的节点

二叉树查找值为x的节点

递归的思路&#xff1a;先判断是不是空树如果的空就返回NULL; 在判断节点的值是否是x,如果是的话就返回这个节点 不是的话就继续递归 BTNode* BinaryTreeFind(BTNode* root, int x) {if (root NULL){return NULL;}if (root->val x){return root;}BTNode* ret NULL;ret B…
阅读更多...
css 如何让元素内部文本和外部文本 一块显示省略号

css 如何让元素内部文本和外部文本 一块显示省略号

实际上还是有这样的需求的 <div class"container"><span>啊啊啊啊啊啊啊啊</span>你好啊撒撒啊撒撒撒撒啊撒撒撒撒撒说</div>还是有这样的需求的哦。 div.container {width: 200px;white-space: nowrap;text-overflow: ellipsis;overflow:…
阅读更多...
Python学习基础笔记六十六——对象的方法

Python学习基础笔记六十六——对象的方法

我们已经学习到的对象类型&#xff1a; 整数类型的对象 字符串类型的对象 列表类型的对象 元组类型的对象 对象通常都有属于自己的方法&#xff08;method&#xff09; 调用对象的方法和调用函数差不多&#xff0c;只要在前面加上所属对象的一个点。 var1 [1, 2, 3,4, 5,…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023