Ubuntu上pgAdmin安全性如何设置

Ubuntu上 pgAdmin 安全性设置

一 基础加固

• 更新系统与软件包：执行sudo apt update && sudo apt upgrade，及时修补漏洞。
• 强口令与账户安全：为pgAdmin管理员与PostgreSQL账户设置强且唯一的密码，定期更换，禁用默认或过期账户。
• 最小权限原则：仅授予用户完成工作所需的最小权限，避免过度授权。
• 服务与端口：避免使用常见端口（如5050），必要时修改为非标准端口以降低被扫描概率。
• 防火墙：使用ufw仅放行必要来源与端口，例如仅允许内网网段访问管理端口。
• 日志与审计：定期检查pgAdmin日志与系统日志，及时发现异常登录与操作。
• 系统加固：保持系统与安全组件更新，限制root直接SSH登录，管理任务通过普通用户加sudo执行。

二 传输加密与端口配置

• 生成证书与密钥（自签名，生产建议用受信任CA）：
  sudo mkdir -p /etc/pgadmin4/ssl
  sudo openssl req -newkey rsa:2048 -nodes -keyout /etc/pgadmin4/ssl/pgadmin.key -out /etc/pgadmin4/ssl/pgadmin.csr
  sudo openssl x509 -req -days 365 -in /etc/pgadmin4/ssl/pgadmin.csr -signkey /etc/pgadmin4/ssl/pgadmin.key -out /etc/pgadmin4/ssl/pgadmin.crt
• 配置 pgAdmin 启用 SSL：编辑**/etc/pgadmin4/config_local.py**，添加或修改：
  SSL_CERTFILE = ‘/etc/pgadmin4/ssl/pgadmin.crt’
  SSL_KEYFILE = ‘/etc/pgadmin4/ssl/pgadmin.key’
• 文件权限（保护私钥）：
  sudo chown root:pgadmin /etc/pgadmin4/ssl/pgadmin.key /etc/pgadmin4/ssl/pgadmin.crt
  sudo chmod 640 /etc/pgadmin4/ssl/pgadmin.key /etc/pgadmin4/ssl/pgadmin.crt
• 修改访问端口（可选）：在config_local.py中设置
  WEB_PORT = 5051
• 重启服务并验证：
  sudo systemctl restart pgadmin4
  浏览器访问：https://<服务器IP或域名>:5051，确认证书生效与连接加密。

三 访问控制与数据库侧策略

• 防火墙精细化：仅允许受控来源访问 pgAdmin 端口，例如
  sudo ufw allow from 192.168.1.0/24 to any port 5051
  sudo ufw enable
• PostgreSQL 侧访问控制：在pg_hba.conf中仅允许可信网段与必要用户/数据库，优先使用hostssl并采用scram-sha-256等强认证方式；在postgresql.conf中启用ssl = on并配置服务器证书，重启数据库使策略生效。
• 网络最小化：如无公网管理需求，将 pgAdmin 仅绑定127.0.0.1或内网地址，通过SSH 隧道或内网反向代理访问。

四 部署与运维要点

• 安装与初始化：使用官方仓库安装pgAdmin 4，通过sudo /usr/pgadmin4/bin/setup-web.sh设置初始管理员账户与基本参数。
• 服务管理：使用systemd管理 pgAdmin 服务（如 sudo systemctl start|restart|status pgadmin4），确保开机自启与故障可恢复。
• 安全配置落地：通过config_local.py集中管理关键安全项（如SSL_CERTFILE、SSL_KEYFILE、WEB_PORT），变更后重启服务生效。
• 持续维护：定期更新pgAdmin与PostgreSQL至最新稳定版本，持续监控日志与告警，执行配置审计与漏洞扫描。