11.1 - pg_hba.conf
Ao instalar o PostgreSQL 8.1.4 via fontes ele cria (e alerta) o arquivo pg_hba.conf com autenticação do tipo trust (sem senha mas somente para conexão local).
Para autenticar exigindo um dos tipos com senha, devemos antes, ainda no trust, alterar os usuários adicionando senha:
ALTER ROLE nomeuser WITH PASSWORD 'senhadopg';
Somente então devemos alterar o pg_hba.conf para pedir senha e restartar o PostgreSQL.
As configurações principais são feitas nos arquivos pg_hba.conf e postgresql.conf. Se instalado através dos fontes ficam no subdiretório data de instalação do PostgreSQL, normalmente em /usr/local/pgsql. Se instalado via binários da distribuição vai variar com a distribuição. No Slackware estão no diretório /usr/share/postgresql.
O pg_hba.conf controla que máquinas terão acesso ao PostgreSQL e a autenticação dessas máquinas clientes (sem autenticação ou através de outras formas, trust, md5, crypt, etc).
O pg_hba.conf é muito rico e podemos controlar o acesso pelo IP, pela máscara, pelo banco, pelo usuário, pelo método (trust, md5, password, etc).
Resumo sobre o pg_hba.conf
Arquivo de configuração da autenticação dos clientes do PostgreSQL
Este arquivo controla:
- Quais hosts têm permissão de conectar
- Como os clientes são autenticados
- Nomes dos usuários que podem usar
- Quais bancos eles podem acessar
Os registros deste arquivo têm as formas seguintes:
- local DATABASE USER METHOD [OPTION]
Este método de conexão é para uso somente através sockets de domínio UNIX
Sem um registro tipo local essa conexão é negada
- host DATABASE USER CIDR-ADDRESS METHOD [OPTION]
Conexão via TCP/IP. Este tipo de conexão só é possível quando o valor do parâmetro listen_address (IP) é adequado no postgresql.conf. Por default somente localhost é permitido. São permitidas conexões com ou sem SSL.
- hostssl DATABASE USER CIDR-ADDRESS METHOD [OPTION]
Semelhante ao host, sendo que neste usa-se criptografia SSL.
- hostnossl DATABASE USER CIDR-ADDRESS METHOD [OPTION]
Apenas para conexões que não usam SSL.
- DATABASE can be "all", "sameuser", "samerole", a database name, or
- a comma-separated list thereof.
DATABASE pode ser:
- "all"
- "sameuser" (para quando o usuário tiver o mesmo nome do banco)
- "samerole" (para quando o usuário for membro de uma role (papel) com o mesmo nome de um banco)
- um nome de banco ou
- uma lista separados por vírgula
USER pode ser:
- "all" (para qualquer usuário)
- um nome de usuário
- um nome de grupo prefixado por "+"
- uma lista separados por vírgula
Tanto no campo DATABASE quanto no USER podemos também escrever um nome de arquivo
prefixado com "@" para incluir nomes em um arquivo separado
CIDR-ADDRESS especifica uma faixa de IPs. Através de um endereço de IP e de
uma máscara que é um inteiro (entre 0 e 32 para IPV4 ou de 128 para IPV6),que
especifica o número de bits significativos da máscara.
Alternativamente podemos escrever o IP separado da máscara em colunas diferentes para especificar o conjunto de hosts.
Exemplos (IPV4):
172.20.143.89/32 para um único host
172.20.143.0/24 para uma rede
O campo CIDR-ADDRESS somente se aplica aos registros host, hostssl e hostnossl.
IP-address e IP-mask
Estes campos podem ser utilizados como alternativa à notação CIDR-ADDRESS. ao invés
de especificar o comprimento da máscara, a atual máscara é especificada em uma coluna separada.
Exemplo:
255.0.0.0 representa uma máscara CIDR em IPV4 com comprimenro 8
255.255.255.255 representa uma máscara CIDR com comprimenro 32
172.20.143.89 255.255.255.255
Estes campos somente se aplica aos registros host, hostssl e hostnossl.
METHOD pode ser "trust", "reject", "md5", "crypt", "password",
- "krb5", "ident", ou "pam"
trust - permite conexão a qualquer um incondicionalmente (sem senha)
reject - rejeita conexão incondicionalmente para o user/host especificado
crypt - recomendada somente para versões inferiores a 7.2. Atualmente recomenda-se md5
krb5 - somente disponível para conexões via TCP/IP
ident - Obtém o nome do usuário do sistema operacional. Para conexões TCP/IP contacta o servidor ident no cliente. Para conexões locais, recebendo este do sistema operacional.
pam - usando o serviço PAM (Pluggable Authentication Modules) do sistema operacional
password - envia senha em texto claro
md5 - deve ser preferido, pois envia senhas criptografadas
- TYPE DATABASE USER CIDR-ADDRESS METHOD
- IPv4 local connections:
host all all 127.0.0.1/32 md5
- IPv6 local connections:
- host all all ::1/128 md5
Alerta: este arquivo é examinado sequencialmente para cada tentativa de conexão.
A ordem dos registros é significativa.
Caso um registro que venha primeiro entre em conflito com outro que vem em seguida, o primeiro será executado e o segundo, não.
Exemplos:
- TYPE DATABASE USER CIDR-ADDRESS METHOD
local all all md5
local all all trust
Acima todas as conexões locais exigirão senha md5.
local all all trust
local all all md5
Já este acima aceitará todas as conexões locais incondicionalmente (sem senha)
A segunda linha será ignorada.
Veja vários exemplos do pg_hba.conf e mais detlahes no capítulo 20 do manual oficial do PostgreSQL em
Observe que conexões locais não usam o campo CIDR-ADDRESS.
Exemplos no pg_hba.conf:
Conexão local via socket
local all all md5
Conexão local via TCP/IP
host all all 127.0.0.1/32 md5
Conexão local via TCP/IP com máscara separada
host all all 127.0.0.1 255.255.255.255 md5
Conexão para uma rede (ident sameuser) via TCP/IP
host banco usuario 192.168.93.0/24 ident sameuser
Conexão rejeitada via TCP/IP para o IP, usuário e banco
host banco usuario 192.168.93.1/32 reject
ident
Obtém o nome de usuário do sistema operacional do cliente (para conexões TCP/IP fazendo contato com o servidor de identificação no cliente, para conexões locais obtendo a partir do sistema operacional) e verifica se o usuário possui permissão para se conectar como o usuário de banco de dados solicitado consultando o mapa especificado após a palavra chave ident.
Exemplo para Ubuntu (facilmente adaptável para outras distros e SOs).
Se instalado pelo repositório:
- sudo gedit /etc/postgresql/8.1/main/postgresql.conf
Altere:
- listen_addresses = 'localhost'
para:
listen_addresses = '*'
Aqui também existem outras importantes configurações, como datestyle = 'sql, dmy' # Datas no estilo brasileiro dd/mm/aaaa
client_encoding = latin1 # suporte à nossa acentuação
- sudo gedit /etc/postgresql/8.1/main/pg_hba.conf
- TIPO BANCO USUÁRIO CIDR-ADDRESS MÉTODO
- "local" é para domínios Unix somente com conexões via socket
- não requer IP
local all all md5
- Conexões locais via IPv4:
host all all 127.0.0.1/32 md5
- Conexões locais via IPv6:
host all all ::1/128 md5
- Conexões para todos os IPs de uma subrede (10.0.0.0)
- TYPE DATABASE USER IP-ADDRESS IP-MASK METHOD
host all all 10.43.0.0 255.0.0.0 trust
Opção para permitir acesso através de toda a internet:
- Aceitar toda a Internet, exceto 200.217.23.234
- TYPE DATABASE USER IP-ADDRESS IP-MASK METHOD
host all all 200.217.23.234 255.255.255.255 reject
host all all 0.0.0.0 0.0.0.0 trust
Mais detalhes sobre o pg_hba.conf em:
http://pgdocptbr.sourceforge.net/pg80/client-authentication.html