Início / dba / Perguntas / 343823
Accepted
Téo Lefebvre
Asked: 2024-11-25 11:53:45 +0800 CST

Podemos autenticar no PostgreSQL com certificado TLS E senha para a mesma conexão?

  • 772

Quero configurar meu servidor PostgreSQL para habilitar a autenticação com certificado TLS e senha ao mesmo tempo (para a mesma conexão, não apenas habilitar os dois mecanismos de autenticação).

Então, para que um cliente se autentique, ele deve:

  • fornecer um certificado válido com o nome de usuário definido no nome comum e assinado por uma autoridade raiz confiável
  • forneça uma senha para este usuário específico

Quero fazer isso para melhorar a segurança. Dessa forma, mesmo que meu certificado de cliente ou minha CA raiz vazem, você ainda precisa de uma senha para autenticar.

Não consigo descobrir como fazer isso. Nesta página da documentação do PostgreSQL , é dito que quando você usa o certificado TLS:

Nenhum prompt de senha será enviado ao cliente

Então é possível fazer isso e, se sim, como?

postgresql

1 respostas

  1. Best Answer

    Você pode conseguir isso usando um hostssllin in pg_hba.confque tem scram-sha-256como método de autenticação a opção adicional clientcert=verify-full. Por exemplo:

    hostssl   mydb   myuser   all   scram-sha-256 clientcert=verify-full

    Então o PostgreSQL insistirá em um certificado de cliente válido, além de solicitar uma senha.

    Veja a documentação :

    Além das opções específicas do método listadas abaixo, há uma opção de autenticação independente do método clientcert, que pode ser especificada em qualquer hostsslregistro. Esta opção pode ser definida como verify-caou verify-full. Ambas as opções exigem que o cliente apresente um certificado SSL válido (confiável), enquanto verify-fulladicionalmente impõe que o cn(Nome Comum) no certificado corresponda ao nome de usuário ou a um mapeamento aplicável. Este comportamento é semelhante ao certmétodo de autenticação (consulte a Seção 20.12 ), mas permite o pareamento da verificação de certificados do cliente com qualquer método de autenticação que suporte hostsslentradas.

    • 2

relate perguntas