主页 / dba / 问题 / 252460
Accepted
425nesp
Asked: 2019-11-04 14:29:54 +0800 CST

将 Postgres 超级用户限制为仅限本地连接

  • 772

我有一个包含多个用户的数据库：foo、bar和super. 我正在寻找pg_hba.conf锁定访问权限。

我想允许foo并bar能够通过密码身份验证从任何 IP 进行连接。或在本地使用信任身份验证。

我想允许super只能使用信任身份验证在本地登录。永远不要来自非本地地址。

我从这个开始。

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# Allow everything if you're on the same machine.
local   all             all                                     trust
host    all             all             127.0.0.1/32            trust

但是，后来我被卡住了，因为我不确定如何说“所有用户，除了超级用户”。我正在寻找这样的东西。

host    all             not_super       all                     md5

我认为我可以采取的一种方法是foo明确bar列出。但是，我想知道是否还有其他方法。

host    all             foo             all                     md5
host    all             bar             all                     md5
postgresql authentication

2 个回答

  1. Best Answer

    pg_hba.conf 的处理在第一个匹配规则处停止，所以把你的超级用户放在第一位——仅限本地，信任——然后是其他所有人的规则。

    host  all  super  127.0.0.1/32  trust   # super user, local only - trust
host  all  super  0.0.0.0/0     reject  # super user, non-local - reject
host  all  all    0.0.0.0/0     md5     # All other users, anywhere - password

    在我看来，这些地址规范太宽泛了。
    您应该安排定义用户必须在其中才能连接到这些数据库的网络子网。

    • 3

  2. 您必须枚举超级用户：

    host   all  superuser1   0.0.0.0/0   reject
host   all  superuser2   0.0.0.0/0   reject
host   all         all   0.0.0.0/0      md5

    应该有一组非常有限的、相当稳定的超级用户。

    • 1

相关问题