openGauss学习笔记-100 openGauss 数据库管理-管理数据库安全-客户端接入之用SSL进行安全的TCP/IP连接

文章目录

    • openGauss学习笔记-100 openGauss 数据库管理-管理数据库安全-客户端接入之用SSL进行安全的TCP/IP连接
      • 100.1 背景信息
      • 100.2 前提条件
      • 100.3 注意事项
      • 100.4 操作步骤
      • 100.5 相关参考

openGauss学习笔记-100 openGauss 数据库管理-管理数据库安全-客户端接入之用SSL进行安全的TCP/IP连接

100.1 背景信息

openGauss支持SSL标准协议（TLS 1.2），SSL协议是安全性更高的协议标准，它们加入了数字签名和数字证书来实现客户端和服务器的双向身份验证，保证了通信双方更加安全的数据传输。

100.2 前提条件

从CA认证中心申请到正式的服务器、客户端的证书和密钥。（假设服务器的私钥为server.key，证书为server.crt，客户端的私钥为client.key，证书为client.crt，CA根证书名称为cacert.pem。）

100.3 注意事项

  • 当用户远程连接到数据库主节点时，需要使用sha256的认证方式。
  • 当内部服务器之间连接时，需要使用trust的认证方式，支持IP白名单认证。

100.4 操作步骤

openGauss在数据库部署完成后，默认已开启SSL认证模式。服务器端证书，私钥以及根证书已经默认配置完成。用户需要配置客户端的相关参数。

配置SSL认证相关的数字证书参数，具体要求请参见表1。

  • 配置客户端参数。

    已从CA认证中心申请到客户端默认证书，私钥，根证书以及私钥密码加密文件。假设证书、私钥和根证书都放在“/home/omm”目录。

    双向认证需配置如下参数：

    export PGSSLCERT="/home/omm/client.crt"
export PGSSLKEY="/home/omm/client.key"
export PGSSLMODE="verify-ca"
export PGSSLROOTCERT="/home/omm/cacert.pem"

    单向认证需要配置如下参数：

    export PGSSLMODE="verify-ca"
export PGSSLROOTCERT="/home/omm/cacert.pem"

  • 修改客户端密钥的权限。

    客户端根证书，密钥，证书以及密钥密码加密文件的权限，需保证权限为600。如果权限不满足要求，则客户端无法以SSL连接到openGauss。

    chmod 600 client.key
chmod 600 client.crt
chmod 600 client.key.cipher
chmod 600 client.key.rand
chmod 600 cacert.pem

img 须知： 从安全性考虑，建议使用双向认证方式。 配置客户端环境变量，必须包含文件的绝对路径。

表 1 认证方式

认证方式含义配置客户端环境变量维护建议
双向认证（推荐）客户端验证服务器证书的有效性，同时服务器端也要验证客户端证书的有效性，只有认证成功，连接才能建立。设置如下环境变量：PGSSLCERTPGSSLKEYPGSSLROOTCERTPGSSLMODE该方式应用于安全性要求较高的场景。使用此方式时，建议设置客户端的PGSSLMODE变量为verify-ca。确保了网络数据的安全性。
单向认证客户端只验证服务器证书的有效性，而服务器端不验证客户端证书的有效性。服务器加载证书信息并发送给客户端，客户端使用根证书来验证服务器端证书的有效性。设置如下环境变量：PGSSLROOTCERTPGSSLMODE为防止基于TCP链接的欺骗，建议使用SSL证书认证功能。除配置客户端根证书外，建议客户端使用PGSSLMODE变量为verify-ca方式连接。

100.5 相关参考

在服务器端的postgresql.conf文件中配置相关参数，详细信息请参见表2。

表 2 服务器参数

参数描述取值范围
ssl表示是否启动SSL功能。on：开启SSL功能。off：关闭SSL功能。**默认值：**off
require_ssl设置服务器端是否强制要求SSL连接。该参数只有当参数ssl为on时才有效。on：服务器端强制要求SSL连接。off：服务器端对是否通过SSL连接不作强制要求。**默认值：**off
ssl_cert_file指定服务器证书文件，包含服务器端的公钥。服务器证书用以表明服务器身份的合法性，公钥将发送给对端用来对数据进行加密。请以实际的证书名为准，其相对路径是相对于数据目录的。默认值：server.crt
ssl_key_file指定服务器私钥文件，用以对公钥加密的数据进行解密。请以实际的服务器私钥名称为准，其相对路径是相对于数据目录的。默认值：server.key
ssl_ca_fileCA服务器的根证书。此参数可选择配置，需要验证客户端证书的合法性时才需要配置。请以实际的CA服务器根证书名称为准。默认值：cacert.pem
ssl_crl_file证书吊销列表，如果客户端证书在该列表中，则当前客户端证书被视为无效证书。请以实际的证书吊销列表名称为准。默认值：空，表示没有吊销列表。
ssl_ciphersSSL通讯使用的加密算法。本产品支持的加密算法的详细信息请参见表4。**默认值：**ALL，表示允许对端使用产品支持的所有加密算法，但不包含ADH、LOW、EXP、MD5算法。
ssl_cert_notify_timeSSL服务器证书到期前提醒的天数。请按照需求配置证书过期前提醒天数。**默认值：**90

在客户端配置SSL认证相关的环境变量，详细信息请参见表3。

img 说明： 客户端环境变量的路径以“/home/omm”为例，在实际操作中请使用实际路径进行替换。

表 3 客户端参数

环境变量描述取值范围
PGSSLCERT指定客户端证书文件，包含客户端的公钥。客户端证书用以表明客户端身份的合法性，公钥将发送给对端用来对数据进行加密。必须包含文件的绝对路径，如：export PGSSLCERT='/home/omm/client.crt'默认值：空
PGSSLKEY指定客户端私钥文件，用以对公钥加密的数据进行解密。必须包含文件的绝对路径，如：export PGSSLKEY='/home/omm/client.key'默认值：空
PGSSLMODE设置是否和服务器进行SSL连接协商，以及指定SSL连接的优先级。**取值及含义：**disable：只尝试非SSL连接。allow：首先尝试非SSL连接，如果连接失败，再尝试SSL连接。prefer：首先尝试SSL连接，如果连接失败，将尝试非SSL连接。require：只尝试SSL连接。如果存在CA文件，则按设置成verify-ca的方式验证。verify-ca：只尝试SSL连接，并且验证服务器是否具有由可信任的证书机构签发的证书。verify-full：只尝试SSL连接，并且验证服务器是否具有由可信任的证书机构签发的证书，以及验证服务器主机名是否与证书中的一致。**默认值：**prefer
PGSSLROOTCERT指定为客户端颁发证书的根证书文件，根证书用于验证服务器证书的有效性。必须包含文件的绝对路径，如：export PGSSLROOTCERT='/home\/omm\/certca.pem'**默认值：**空
PGSSLCRL指定证书吊销列表文件，用于验证服务器证书是否在废弃证书列表中，如果在，则服务器证书将会被视为无效证书。必须包含文件的绝对路径，如：export PGSSLCRL='/home/omm/sslcrl-file.crl'**默认值：**空

服务器端参数ssl、require_ssl与客户端参数sslmode配置组合结果如下：

ssl（服务器）sslmode（客户端）require_ssl（服务器）结果
ondisableon由于服务器端要求使用SSL，但客户端针对该连接禁用了SSL，因此无法建立连接。
disableoff连接未加密。
allowon连接经过加密。
allowoff连接未加密。
preferon连接经过加密。
preferoff连接经过加密。
requireon连接经过加密。
requireoff连接经过加密。
verify-caon连接经过加密，且验证了服务器证书。
verify-caoff连接经过加密，且验证了服务器证书。
verify-fullon连接经过加密，且验证了服务器证书和主机名。
verify-fulloff连接经过加密，且验证了服务器证书和主机名。
offdisableon连接未加密。
disableoff连接未加密。
allowon连接未加密。
allowoff连接未加密。
preferon连接未加密。
preferoff连接未加密。
requireon由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。
requireoff由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。
verify-caon由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。
verify-caoff由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。
verify-fullon由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。
verify-fulloff由于客户端要求使用SSL，但服务器端禁用了SSL，因此无法建立连接。

SSL传输支持一系列不同强度的加密和认证算法。用户可以通过修改postgresql.conf中的ssl_ciphers参数指定数据库服务器使用的加密算法。目前本产品SSL支持的加密算法如表4所示。

表 4 加密算法套件

OpenSSL套件名IANA套件名安全程度
ECDHE-RSA-AES128-GCM-SHA256TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256HIGH
ECDHE-RSA-AES256-GCM-SHA384TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384HIGH
ECDHE-ECDSA-AES128-GCM-SHA256TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256HIGH
ECDHE-ECDSA-AES256-GCM-SHA384TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384HIGH
DHE-RSA-AES128-GCM-SHA256TLS_DHE_RSA_WITH_AES_128_GCM_SHA256HIGH
DHE-RSA-AES256-GCM-SHA384TLS_DHE_RSA_WITH_AES_256_GCM_SHA384HIGH

img 说明：

  • 目前只支持上表中的6种加密算法套件。
  • 配置参数ssl_ciphers的默认值为ALL，表示支持上表中的所有加密算法。为保持前向兼容保留了DHE算法套件，即DHE-RSA-AES128-GCM-SHA256和DHE-RSA-AES256-GCM-SHA384，根据CVE-2002-20001漏洞披露DHE算法存在一定安全风险，非兼容场景不建议使用，可将ssl_ciphers参数配置为仅支持ECDHE类型算法套件。
  • 如需指定以上加密算法套件，可以设置ssl_ciphers为上表中OpenSSL套件名称，加密算法套件之间需要使用分号分割，如在postgresql.conf设置：ssl_ciphers=‘ECDHE-RSA-AES128-GCM-SHA256;ECDHE-ECDSA-AES128-GCM-SHA256’。
  • SSL连接认证不仅增加了登录（创建SSL环境）及退出过程（清理SSL环境）的时间消耗，同时需要消耗额外的时间用于加解密所需传输的内容，因此对性能有一定影响。特别的，对于频繁的登录登出，短时查询等场景有较大的影响。
  • 在证书有效期小于7天的时候，连接登录会在日志中产生告警提醒。

👍 点赞，你的认可是我创作的动力！

⭐️ 收藏，你的青睐是我努力的方向！

✏️ 评论，你的意见是我进步的财富！

image-20230710182909917

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/109729.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

excel+requests管理测试用例接口自动化框架

excel+requests管理测试用例接口自动化框架

背景： 某项目有多个接口，之前使用的unittest框架来管理测试用例，将每个接口的用例封装成一个py文件，接口有数据或者字段变动后，需要去每个py文件中找出变动的接口测试用例，维护起来不方便，为了…
阅读更多...
双目视觉实战--单视图测量方法

双目视觉实战--单视图测量方法

目录 一.简介 二、2D变换 1. 等距变换（欧式变换） 2. 相似变换 3. 仿射变换 4. 射影变换（透视变换） 5. 结论 三、影消点与影消线 1. 平面上的线 2. 直线的交点 3. 2D无穷远点 4. 无穷远直线 5. 无穷远点的透视变换与仿…
阅读更多...
Spring Cloud Gateway 使用 Redis 限流使用教程

Spring Cloud Gateway 使用 Redis 限流使用教程

从本文开始，笔者将总结 spring cloud 相关内容的教程 版本选择 为了适应 java8，笔者选择了下面的版本，后续会出 java17的以SpringBoot3.0.X为主的教程 SpringBoot 版本 2.6.5 SpringCloud 版本 2021.0.1 SpringCloudAlibaba 版本 2021.0.1.…
阅读更多...
Prometheus的Pushgateway快速部署及使用

Prometheus的Pushgateway快速部署及使用

prometheus-pushgateway安装 一. Pushgateway简介 Pushgateway为Prometheus整体监控方案的功能组件之一，并做于一个独立的工具存在。它主要用于Prometheus无法直接拿到监控指标的场景，如监控源位于防火墙之后，Prometheus无法穿透防火墙&…
阅读更多...
C++基础——内存分区模型

C++基础——内存分区模型

1 概述 C程序在执行是，将内存大致分为4个区域： 代码区：用于存放二进制代码，由操作系统进行管理全局区：存放全局变量和静态变量及常量栈区：由编译器自动分配释放，存放函数的参数、局部变量等堆…
阅读更多...
回首往昔，初学编程那会写过的两段愚蠢代码

回首往昔，初学编程那会写过的两段愚蠢代码

一、关于判断两个整数是否能整除的GW BASIC创意代码 记得上大学时第一个编程语言是BASIC，当时Visual Basic还没出世，QBASIC虽然已经在1991年随MS-DOS5.0推出了，但我们使用的还是 GW-BASIC， 使用的教材是谭浩强、田淑清编著的《BA…
阅读更多...
【广州华锐互动】VR建筑安全培训体验为建筑行业人才培养提供有力支持

【广州华锐互动】VR建筑安全培训体验为建筑行业人才培养提供有力支持

随着建筑行业的快速发展，建筑施工安全问题日益受到广泛关注。然而，传统的安全培训方式往往缺乏实践性和真实性，难以让员工真正掌握安全操作技能。近年来，虚拟现实(VR)技术的广泛应用为建筑施工安全培训提供了新的机遇。 虚拟现实技…
阅读更多...
金融用户实践｜分布式存储支持数据仓库业务系统性能验证

金融用户实践｜分布式存储支持数据仓库业务系统性能验证

作者：深耕行业的 SmartX 金融团队 闫海涛 估值是指对资产或负债的价值进行评估的过程，这对于投资决策具有重要意义。每个金融公司资管业务人员都期望能够实现实时的业务估值，快速获取最新的数据和指标，从而做出更明智的投资决策。…
阅读更多...
【数组的使用续篇】

【数组的使用续篇】

文章目录 以数组的形式打印数组打印方法：Arrays.toString(数组名) 数组排序大小排序方法是 Arrays.sort(数组名) 创建一个自己的打印数组的方法自己创建一个冒泡排序两数之间交换方法 逆置数组打印核心思路还是 i 和 j 交换 总结 以数组的形式打印数组 打印方法&am…
阅读更多...
软件测试用例设计方法-因果图法

软件测试用例设计方法-因果图法

边界值法是等价类划分法的补充，所以，它们是一对搭档。 那么，判定表法有没有它的搭档呢？ 答案是，有的。那就是本篇文章分享的用例设计方法—— 因果图法 。 定义 因果图法： 用来处理等价类划分和边界值…
阅读更多...
三维地图开发三维地图服务器

三维地图开发三维地图服务器

三维地图开发三维地图服务器 发布时间：2020-03-03 版权： 搭建离线地图服务主要是两个步骤：一是：下载离线地图服务需要的地图数据；二是：将下载的离线地图数据发布成地图服务；只有做好这两步&…
阅读更多...
出差学小白知识No5：ubuntu连接开发板|上传源码包|板端运行的环境部署

出差学小白知识No5：ubuntu连接开发板|上传源码包|板端运行的环境部署

1、ubuntu连接开发板&#xff1a; 在ubuntu终端通过ssh协议来连接开发板&#xff0c;例如&#xff1a; ssh root<IP_address> 即可 这篇文章中也有关于如何连接开发板的介绍&#xff0c;可以参考SOC侧跨域实现DDS通信总结 2、源码包上传 通过scp指令&#xff0c;在ub…
阅读更多...
python使用dataset快速使用SQLite

python使用dataset快速使用SQLite

目录 一、官网地址 二、安装 三、 快速使用 一、官网地址 GitHub - pudo/dataset: Easy-to-use data handling for SQL data stores with support for implicit table creation, bulk loading, and transactions. 二、安装 pip install dataset 如果是mysql&#xff0c;则…
阅读更多...
堆/二叉堆详解[C/C++]

堆/二叉堆详解[C/C++]

前言 堆是计算机科学中-类特殊的数据结构的统称。实现有很多,例如:大顶堆,小顶堆&#xff0c;斐波那契堆&#xff0c;左偏堆&#xff0c;斜堆等等。从子结点个数上可以分为二汊堆&#xff0c;N叉堆等等。本文将介绍的是二叉堆。 二叉堆的概念 1、引例 我们小时候&#xff0c;基…
阅读更多...
left join时筛选条件对查询结果的

left join时筛选条件对查询结果的

-- 创建表 CREATE TABLE table1 (id int(11) NOT NULL AUTO_INCREMENT,card_num varchar(60) DEFAULT NULL,customer_id varchar(60) DEFAULT NULL,PRIMARY KEY (id) ) ENGINE InnoDBAUTO_INCREMENT 12DEFAULT CHARSET utf8mb4 COMMENT 测试表1;-- 创建表 CREAT…
阅读更多...
44springboot摄影跟拍预定管理系统

44springboot摄影跟拍预定管理系统

大家好✌&#xff01;我是CZ淡陌。一名专注以理论为基础实战为主的技术博主&#xff0c;将再这里为大家分享优质的实战项目&#xff0c;本人在Java毕业设计领域有多年的经验&#xff0c;陆续会更新更多优质的Java实战项目&#xff0c;希望你能有所收获&#xff0c;少走一些弯路…
阅读更多...
basic_sr介绍

basic_sr介绍

文章目录 pytorch基础知识和basicSR中用到的语法1.Sampler类与4种采样方式2.python dict的get方法使用3.prefetch_dataloader.py4. pytorch 并行和分布式训练4.1 选择要使用的cuda4.2 DataParallel使用方法常规使用方法保存和载入 4.3 DistributedDataParallel 5.wangdb 入门5.…
阅读更多...
众佰诚：抖音小店的体验分什么时候更新

众佰诚：抖音小店的体验分什么时候更新

随着移动互联网的发展&#xff0c;越来越多的电商平台开始涌现&#xff0c;其中抖音小店作为一种新型的电商模式&#xff0c;受到了许多用户的欢迎。然而&#xff0c;对于抖音小店的体验分更新时间&#xff0c;很多用户并不是很清楚。本文将对此进行详细的解答。 首先&#xff…
阅读更多...
SimpleCG图像操作基础

SimpleCG图像操作基础

上一篇我们介绍了程序的交互功能&#xff0c;就可以编写一些简单的游戏了&#xff0c;例如贪吃蛇、扫雷、俄罗斯方块、五子棋等&#xff0c;都可以使用图形函数直接绘制&#xff0c;在后续文章中将逐一展示。不过编写画面丰富游戏离不开图像&#xff0c;所以本篇我们介绍一下基…
阅读更多...
智能合同和TikTok：揭示加密技术的前景

智能合同和TikTok：揭示加密技术的前景

在当今数字化时代&#xff0c;智能合同和加密技术都成为了技术和商业世界中的热门话题。它们代表了一个崭新的未来&#xff0c;有着潜在的巨大影响。 然而&#xff0c;你或许从未想过将这两者联系在一起&#xff0c;直到今天。本文将探讨智能合同和TikTok之间的联系&#xff0…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023