Оглавление |
---|
Информация | ||
---|---|---|
| ||
|
Тестовый пример
При написании статьи использовалась Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.7) с установленной СУБД PostgreSQL 11 (далее - СУБД). Установка СУБД выполнялась при установке 1С в соответствии с инструкцией для использования с системой 1С по инструкции из статьи Установка и настройка сервера 1С v8.3.xx на ОС Astra Linux. Особенностью установки данном случае является назначение пароля служебному пользователю postgresql, создаваемому при установке СУБД. Команда для установки пароля:
Command |
---|
sudo -iu postgres psql -c "ALTER ROLE postgres WITH PASSWORD '<пароль>';" |
Подробнее про использование паролей см. в статье Аутентификация в СУБД PostgreSQL.
В качестве базы данных (БД) использовалась далее используется предоставляемая разработчиками СУБД стандартная тестовая БД dvdrental, описанная в статье PostgreSQL Sample ..Database. Особенностью этой БД является то, что она принадлежит пользователю postgresql, поэтому примеры далее приведены с использованием привилегий этого пользователя. Отдельно приводятся рекомендации по созданию и настройке прав выделенного пользователя для выполнения операций резервного копирования и восстановления.
Список реально использующихся баз данных можно получить запустив командную оболочку postgresql и выполнив команду \l, например:
Command | ||
---|---|---|
| ||
|
Для создания тестовой БД в PostgreSQL:
Загрузить архив с тестовой БД командой:
Command wget https://www.postgresqltutorial.com/wp-content/uploads/2019/05/dvdrental.zip Далее предполагается, что архив загружен в текущий домашний каталог пользователя.
Распаковать архив:
Command unzip dvdrental.zip
В результате распаковки в текущем рабочем каталоге будет создан файл dvdrental.tar;.
- Опционально, для
Для удобства работы, чтобы не вводить каждый раз пароль, настроить права доступа
. Работу с БД без ввода пароля можно обеспечить следующими способами, для чего:
Создать файл .pgpass, содержащий сроки, задающие задающий пароли доступа. Каждая стока строка файла имеет вид:
Блок кода <имя_или_IP-адрес_хоста>:<IP-порт>:<имя_БД>:<имя_пользователя>:<пароль_пользователя>
Например:
Блок кода localhost:5432:dvdrental:postgres:пароль
Файл должен иметь маску прав доступа 600, иначе он будет игнорироваться. Создать файл можно с помощью любого текстового редактора, или, например, командами:
Command touch ~/.pgpass
chmod 600 ~/.pgpass
echo "localhost:5432:*:postgres:q2w2e2r212345678" > ~/.pgpassДля примера использован пароль 12345678. Допускается использование метасимвола "*" для обозначения любого значения;
Использовать команду sudo (sudo -u postgresql) чтобы команды работы с БД выполнялись от имени пользователя postgres. Например
Создать базу данных с именем dvdrental:
sudoCommand
upsql -
psqlU postgres
-h localhost -c 'CREATE DATABASE dvdrental;'
- При этом для загрузки архива БД в БД PostgreSQL пользователю postgres должен быть предоставлен доступ на чтение информации из архива БД. Для предоставления такого доступа можно использовать следующие команды (предполагается, что все файлы находятся в домашнем каталоге)
Предоставить пользователю postgresql доступ к распакованному файлу с дампом БД:
Command setfacl -m u:postgres:rx "$HOME
setfacl -m u:postgres:r dvdrental.tarПодробнее про использование команды setfacl см. Списки управления доступом к файловым объектам (ACL) в Astra Linux.
" Команда предоставляется доступ на поиск файлов в каталоге, в котором находится распакованный файл. Предполагается, что это домашней каталог. Это действие может не требоваться в ранних обновлениях Astra Linux.
Загрузить дамп тестовой БД в СУБД
Использовать явное указание имени пользователя и пароля при указании БД (небезопасно), например:
Command pg_dump --dbname=postgresql://<имя_пользователя>:<пароль>@localhost:5432/dvdrental Создать пустую БД в PostgreSQL командой:
Command postgres psql -c 'CREATE DATABASE dvdrental;' Загрузить архив тестовой БД в БД PostgreSQL. Команда:
Command pg_restore -U postgres -h localhost -d dvdrental dvdrental.tar Информация Указанная команда фактически является командой восстановления БД из архива.
Создание резервной копии базы данных
Для сохранения резервных копий БД в основном используются две команды:
- pg_dump - выгрузка указанной БД;
- pg_dumpall - выгрузка всех БД и метаданных.
Сохранение может выполняться в текстовом формате или в формате архива (опция -F).
При работе с несколькими кластерами (группами баз данных), расположенными на одной машине, для выбора кластера используется номер порта (опция -p).
Создание резервной копии базы данных от имени служебного пользователя postgresql
В простейшем случае создание резервных копий можно создавать от имени создаваемого при установке СУБД служебного пользователя postgresql. Более правильным вариантом является создание специального пользователя с правом только чтения (см. далее).
Примеры команд, выполняемых от имени пользователя postgresqlПримеры использования:
Сохранение всех БД в текстовом формате:
Command pg_dumpall -h localhost -U postgres -f postgresql_dump
Информация При работе с защищенной версией СУБД PostgreSQL (используется в Astra Linux Special Edition) при сохранении выгрузке БД могут выдаваться сообщения вида:
Блок кода pg_dump: obtained maximum maclabel {0,0} of data in table "actor"
Эти сообщения не являются сообщениями об ошибках, и являются информацией о найденной максимальной классификационной метке сохраняемых таблицзаписей.
Сохранения только тестовой БД dvdrental в формате архива (последний аргумен указывает имя сохраняемой БД):
Command pg_dump -h localhost -U postgres -f dvdrental_dump.tar -F tar dvdrental
Создание специального пользователя для выгрузки резервных копий базы данных
Для примера в качестве специального пользователя используется текущий пользователь (во время работы в пользовательской сессии имя текущего пользователя находится в переменной окружения USER, и в командной строке подставляется вместо лексемы $USER).
Зарегистрировать пользователя в БД:
Command sudo -u postgres psql -c "CREATE ROLE $USER LOGIN CREATEDB;" - При работе с защищенной СУБД в Astra Linux Special Edition:
Предоставить служебному пользователю postgresql права доступа к базе данных классификационных меток пользователей (подробнее см. Списки управления доступом к файловым объектам (ACL) в Astra Linux):
Command sudo setfacl -d -m u:postgres:r /etc/parsec/macdb
sudo setfacl -m u:postgres:r /etc/parsec/macdb/*Создать классификационную метку пользователя, если она не была создана ранее. Это действие требуется выполнить даже если метка пользователя нулевая. Пример создания нулевой метки:
Command sudo pdpl-user -l 0:0 $USER
Предоставить пользователю права на чтение баз данных (таблиц и индексов). Далее в примере предполагается, что в базе данных используется только одна схема public. Если это не так, то права доступа нужно предоставить ко всем используемым схемам. Получить список схем базы данных можно командой:
Command sudo -u postgres psql -d <имя_базы_данных> -c "select schema_name from information_schema.schemata;"
Пример вывода команды:
Command Title sudo -u postgres psql -d test_database -c "select schema_name from information_schema.schemata;" schema_name
--------------------
test_schema
pg_toast
information_schema
pg_catalog
public
pg_toast_temp_1
pg_temp_1
(7 строк)Схемы, названия которых начинаются с префикса pg_ и схема information_schema являются служебными, и доступ к ним предоставлять не требуется.
Предоставление всех прав доступа к схеме public базы данных dvdrental:Command sudo -u postgres psql -d dvdrental -c "GRANT SELECT ON ALL TABLES IN SCHEMA public TO $USER;"
sudo -u postgres psql -d dvdrental -c "GRANT SELECT ON ALL SEQUENCES IN SCHEMA public TO $USER;"Если предполагается, что в будущем в базу данных будут добавляться новые таблицы, то можно сразу определить права доступа, разрешающие читать новые таблицы и индексы:
Command sudo -u postgres psql -d dvdrental -c "ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO $USER;"
sudo -u postgres psql -d dvdrental -c "ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON SEQUENCES TO $USER;"Далее выгрузка баз данных должна выполняться от имени текущего пользователя без использования sudo и служебного пользователя postgres:
Command pg_dump -d dvdrental -f out -F tar dbrental
Загрузка резервной копии базы данных
Перед загрузкой резервной копии содержимое БД должно быть очищено. Сделать это можно удалив и заново создав БД:
Command |
---|
psql -U postgres -h localhost -c 'DROP DATABASE dvdrental;' psql -U postgres -h localhost -c 'CREATE DATABASE dvdrental;' |
Загрузка БД, сохраненной в текстовом формате:
Command |
---|
psql -U postgres -h localhost dvdrental < dvdrental_dump |
Загрузка БД, сохраненной в формате архива:
Command |
---|
pg_restore -U postgres -h localhost -d dvdrental dvdrental_dump |
Подробная справка по всем командам доступна в справочной системе MAN.
Особенности
работы с данными, имеющимивыгрузки данных, имеющих ненулевые классификационные метки
Защищенная СУБД PostgreSQL, применяемая в Astra Linux Special Edition, поддерживает управление доступом к записям БД с учетом классификационных меток записей (см. соответствующую документацию на изделия, например, Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.7). Эксплуатационная и дополнительная документация).
При выгрузке копий данных, хранящихся в защищенной БД (команды настройках СУБД принятых по умолчанию для выгрузки базы данных должны быть выполнены следующие условия:
- Каталог, в котором будет размещен файл выгрузки, должен иметь классификационную метку не меньшую, чем максимальная классификационная метка выгружаемых данных. Если в каталоге предполагается хранить резервные копии с разными классификационными метками, то в метке безопасности каталога должен быть включен флаг ccnr. Уровень целостности файла выгрузки наследуется либо от клиента (команды командной строки pg_dump, pg_dumpall, \copy в psql), либо от сервера (команда ЗСУБД COPY TO ФАЙЛ)
- .
- Если выгрузка выполняется не от имени суперпользователя (от имени непривилегированного пользователя), то:
- В ОС должно быть разрешено создание файлов с классификационной меткой, меньшей классификационной метки содержащего их каталога (см. статью Параметры модуля ядра Parsec, задаваемые в загрузчике) или пользователь, от имени которого выполняется выгрузка, должен иметь действующую мандатную привилегию PARSEC_CAP_CCNR_RELAX (см. статью Привилегии PARSEC).
- Пользователь, осуществляющий выгрузку данных, должен иметь:
- Право открывать сессии с классификационной меткой не ниже максимальной метки выгружаемых данных. Определяется максимальной классификационной меткой пользователя.
- Право выполнять запись в каталог, предназначенный для выгрузки. Определяется дискреционным и мандатными масками доступа, установленными для каталога, и меткой безопасности текущей сессии пользователя.
- Мандатную привилегию PARSEC — привилегию PARSEC_CAP_CHMAC.
- Выгрузка данных должна выполняться из пользовательской сессии с классификационной меткой не ниже максимальной классификационной метки выгружаемых данных.
Дополнительно возможна выгрузка базы данных из непривилегированной пользовательской сессии, имеющей классификационную метку меньше максимальной классификационной метки записей базы данных. При этом будут выгружены только данные, имеющие классификационную метку не больше метки сессии. Для включения этой возможности следует:
- параметру СУБД присвоить значение true:
где <версия_кластера> — 11 для postgresql-11 и 15 для postgresql-15, <имя_кластера> - по умолчанию main.Command sudo pg_conftool <версия_кластера> <имя_кластера> set ac_ignore_socket_maclabel false - Перезапустить СУБД:
Command sudo pg_ctlcluster <версия_кластера> <имя_кластера> restart
Создание каталога с максимальной меткой безопасности
Создать каталог с нужной меткой безопасности для хранения файлов выгрузки
Уровень целостности выгружаемых данных наследуется либо от клиента (команды pg_dump, pg_dumpall, \copy в psql), либо от сервера (команда COPY TO ФАЙЛ).В соответствии с общими правилями МРД (см. Метка безопасности: структура и состав) каталог для хранения резервных копий должен иметь классификационную метку не меньшую, чем максимальная классификационная метка выгружаемых данных, а если в каталоге предполагается хранить резервные копии с разными классификационными метками - то в метке безопасности каталога дожен использоваться флаг ccnr. Как пример, создать каталог с нужной меткой безопасности можно следующими командами:
Создать сам каталог, например:
Command sudo mkdir /var/backups-psql Присвоить созданному каталогу нужную максимальную метку безопасности , напримери флаги ccn (см. Метка безопасности: структура и состав). Например:
Command sudo pdpl-file 3:63:-1:ccnr /var/backups-psql
Присвоение пользователю мандатных привилегий
Присвоить нужные мандатные привилегии пользователю можно командой usercapsПри этом для того, чтобы обеспечить достаточные права для назначения классификационной метки файлу с резервной копией команды выгрузки можно выполнять от sudo, или назначить PARSEC-привилегию PARSEC_CAP_CHMAC пользователю-администратору СУБД. Например:
Command |
---|
sudo usercaps -m 0x8 postgres |
Назначение привилегии пользователю начнет полностью начинает действовать после следующего входа этого пользователя в пользовательскую сессию. Для того, чтобы оперативно включить действие назначенной привилегии в консоли можно перезапустить консоль следующей командой (потребуется ввести пароль пользователя):
Command |
---|
exec su - $USER |