Где хранятся настройки аутентификации

Настройки аутентификации хранятся в файле  /etc/postgresql/<номер_версии>/<имя_кластера>/pg_hba.conf.
Где:

• <номер_версии> - 9.6, 11, 14;
• <имя_кластера> - по умолчанию main.

Настройка "по умолчанию" после установки postgresql

После установки настройки выглядят так:

local   all             postgres                                peer
local   all             all                                     peer
host    all             all             0.0.0.0/0            md5

Беспарольная аутентификация локальных подключений с помощью собственной БД пользователей

local   all             all                                peer

Примеры:

1. 
   

   Command
   Title createdb <имя_БД>
   createdb: не удалось подключиться к базе template1: ВАЖНО:  роль <имя_пользователя> не существует

   Пояснение: по умолчанию подключение выполняется к локальной машине (localhost). При выполнении команды автоматически определено имя пользователя (текущий пользователя), и такое имя не найдено в собственной БД пользователей (далее - БДП). Отказ в выполнении.;
   
   

2. Регистрация текущего пользователя (роли) в БДП:

   Command
   sudo -u postgres psql -c "CREATE ROLE $USER LOGIN;"

   Пояснение: имя роли, регистрируемое в БДП не обязательно должно совпадать с именем существующего пользователя ОС, но при работе с включенным МРД такие роли не смогут получить авторизацию, см. следующий пункт. Далее предполагается, что имя роли совпадает с именем текущего пользователя;
   
   

3. 
   

   Command
   Title createdb <имя_БД>
   createdb: не удалось подключиться к базе template1: ВАЖНО:  error obtaining MAC configuration for user "<имя_пользователя>"

   Пояснение: аутентификация пользователя выполнена. Возникшая ошибка - не ошибка аутентификации, а ошибка авторизации (назначения мандатных прав доступа) при включенной поддержке МРД в СУБД и ОС. Для устранения ошибки либо :
   - либо выключить МРД (см. документацию ), в части значения параметра ac_ignore_maclabel файла postgresql.conf, а так описания уровней защиты ОС для Astra Linux x.7):
   - либо явно назначить классификационную метку пользователю (даже если это нулевая метка) и предоставить служебному пользователю postgres право на её чтение файла, напримерсодержащего метку. Например, для текущего пользователя:

   Command
   sudo pdpl-user -l 0:0 $USER sudo setfacl -m u:postgres:r /etc/parsec/macdb/`id -u`

   Данная ошибка не возникает при отключенном МРД или если у пользователя уже есть явно заданная классификационная метка. Далее предполагается, что ошибка не возникает.

   Информация
   При включенном МРД для прохождения мандатной авторизации имена ролей должны совпадать с именами пользователей ОС.

   
   

4. 
   

   Command
   Title createdb <имя_БД>
   createdb: создать базу данных не удалось: ОШИБКА:  нет прав на создание базы данных

   Пояснение: аутентификация и авторизация пользователя выполнена. Возникающая ошибка - не ошибка аутентификации, и не ошибка авторизации, а результат получения при авторизации недостаточных прав, как и указано в описании ошибки. Настройка прав пользователя выходит за рамки вопросов аутентификации и в данной статье не рассматривается.

Парольная аутентификация внешних подключений в БДП

host    all             all             0.0.0.0/0            md5

Пример:

1. 
   

   Command
   Title createdb -h <IP-адрес> <имя_БД>
   Пароль:

   Пояснение: по умолчанию подключение выполняется к локальной машине (localhost), но в этом примере явно задана опция -h, указывающая адрес, к которому нужно подключаться. При выполнении команды автоматически определено имя пользователя (текущий пользователя), подключение определено как внешнее, и в соответствии с правилом для внешних подключений запрошен пароль.
   
   

2. Задание пароля в БДП:

   Command
   sudo -u postgres psql -c "ALTER USER $USER WITH PASSWORD '<пароль>';"

   
   

3. 
   

   Command
   Title createdb -h <IP-адрес> <имя_БД>
   Пароль: createdb: создать базу данных не удалось: ОШИБКА:  нет прав на создание базы данных

   Пояснение: после ввода пароля, заданного в БДП, аутентификация и авторизация пройдены успешно, но права на создание БД отсутствуют.

Аутентификация внешних подключений с использованием PAM

host    all             all             0.0.0.0/0            pam

1. В качестве пароля использовать пароль пользователя в ОС:

   Command
   Title createdb -h <IP-адрес> <имя_БД>
   Пароль: Пароль: Пароль: createdb: не удалось подключиться к базе template1: ВАЖНО:  пользователь "<имя_пользователя>" не прошёл проверку подлинности (PAM) ВАЖНО:  пользователь "<имя_пользователя>" не прошёл проверку подлинности (PAM)

   Эта ошибка может возникать при неправильно введенном пароле или при ошибках в PAM-стеке, но в рассматриваемом примере причиной ошибки является невозможность проверки введенного пароля из-за отсутствия доступа к файлу /etc/shadow (при этом пароль трактуется как неверный). Для устранения ошибки предоставить служебному пользователю postgresql право чтения файла /etc/shadow:

   Command
   sudo setfacl -m u:postgres:r /etc/shadow

   
   

2. После предоставления служебному пользователю postgresql право права чтения файла /etc/shadow аутентификация и авторизация по паролю ОС (паролю из /etc/shadow) и дальнейшая авторизация выполняются успешно:

   Command
   Title createdb -h <IP-адрес> <имя_БД>
   Пароль: createdb: создать базу данных не удалось: ОШИБКА:  нет прав на создание базы данных

   После ввода пароля, заданного в ОС (в /etc/shadow) аутентификация и авторизация пройдены успешно, но права на создание БД отсутствуют.