PostgreSQL 在 Linux 上的安全设置
一 基础安全基线
- 保持系统与数据库更新：执行系统包更新（如 yum update -y 或 apt-get update && apt-get upgrade），及时修补漏洞。
- 最小权限原则：仅授予业务所需权限，避免使用 superuser 连接应用。
- 强口令与轮换：为数据库角色设置复杂口令并定期更换，禁止共享账号。
- 本地安全：限制 postgres 系统账号登录，仅用于运维；应用与数据库分离账号体系。
- 备份与恢复演练：定期使用 pg_dump 做逻辑备份，验证可恢复性并保留多份副本。
二 网络与防火墙
- 监听范围最小化：在 postgresql.conf 中设置 listen_addresses 仅包含必要地址，若仅本机访问可设为 localhost 或空以仅用 Unix 域套接字。
- 防火墙精准放行：
- firewalld（RHEL/CentOS 7+）：仅允许受控来源访问 5432/tcp，例如：
- 按端口：sudo firewall-cmd --permanent --zone=public --add-port=5432/tcp && sudo firewall-cmd --reload
- 按服务：sudo firewall-cmd --permanent --add-service=postgresql && sudo firewall-cmd --reload
- 验证：sudo firewall-cmd --list-all
- 边界与跳板：生产环境优先将数据库置于私有子网，通过跳板机或内网代理访问；必要时使用 SSH 反向端口转发 做临时维护通道。
- 连接测试：从受控主机验证 nc -zv your_db_host 5432 或 telnet your_db_host 5432。
三 认证与访问控制
- 配置文件分工：
- postgresql.conf：控制监听地址与端口（如 listen_addresses、port）。
- pg_hba.conf：控制“谁（用户/组）从哪（来源网段）用哪种方式（METHOD）连哪些库”。
- 推荐做法：
- 本地连接优先使用 peer 或 ident；远程连接使用 scram-sha-256（较 md5 更强）。
- 示例（仅示例，生产请进一步收敛网段与用户）：
- 本地：local all all peer
- 内网应用：hostssl all app_user 192.168.1.0/24 scram-sha-256
- 管理通道：hostssl all admin_user 203.0.113.10/32 scram-sha-256
- 变更生效：修改 pg_hba.conf 后执行 SELECT pg_reload_conf(); 或重启服务。
四 传输加密与证书配置
- 启用 TLS：在 postgresql.conf 中开启 ssl = on，并配置证书与密钥：
- 示例：
- ssl = on
- ssl_cert_file = ‘/path/to/server.crt’
- ssl_key_file = ‘/path/to/server.key’
- 如需双向认证：ssl_ca_file = ‘/path/to/ca.crt’
- 密码学建议：启用 ssl_prefer_server_ciphers = on，优先使用 TLS 1.2/1.3 与高强套件。
- 证书获取：可使用 Let’s Encrypt 或 OpenSSL 自建 CA 与服务器/客户端证书；客户端证书 CN 建议与数据库角色名一致以便映射身份。
五 审计监控与备份恢复
- 审计与日志：
- 启用数据库日志（如 log_min_messages、日志目录等），并结合 pg_stat_statements 做慢查询与异常检测。
- 系统级审计：启用 auditd，记录关键命令与登录，使用 ausearch/aureport 分析 /var/log/audit/audit.log。
- SELinux：若启用，按需放行数据库端口或创建自定义策略，避免直接改为 permissive 模式。
- 备份与演练：
- 逻辑备份：pg_dump -U user -W -F t -f backup.tar dbname；定期异地/离线保存。
- 恢复验证：定期在隔离环境演练恢复流程，校验数据一致性与可用性。