修改PostgreSQL配置文件以确保数据安全

为确保PostgreSQL数据安全，需重点修改以下配置参数（在postgresql.conf中设置），并配合权限管理和备份策略：

一、核心安全参数配置

1. 强制SSL加密连接

   ssl = on
   ssl_cert_file = '/path/to/server.crt'  # 服务器证书路径
   ssl_key_file = '/path/to/server.key'    # 私钥路径（权限设为600）
   ssl_ciphers = 'HIGH:MEDIUM:+3DES:!aNULL'  # 限制加密套件
   

   • 作用：防止明文传输数据，避免中间人攻击。

2. 禁用不安全的认证方式
   修改pg_hba.conf文件，仅允许强认证方式（如scram-sha-256或md5，避免trust或peer）：

   # 示例：仅允许本地SSL连接和特定IP的密码认证
   hostssl all all 192.168.1.0/24 scram-sha-256
   local   all all                     scram-sha-256
   

3. 限制超级用户权限

   • 避免使用默认的postgres超级用户直接操作业务数据，创建专用超级用户并限制登录：

     CREATE ROLE admin WITH SUPERUSER LOGIN PASSWORD '强密码';
     ALTER ROLE postgres NOLOGIN;  -- 禁用默认超级用户登录
     

4. 启用日志审计

   logging_collector = on          # 开启日志收集
   log_directory = '/var/log/postgresql'  # 日志目录
   log_filename = 'postgresql-%Y-%m-%d_%H%M%S.log'
   log_statement = 'ddl'           # 记录DDL操作（可设为'all'记录所有SQL）
   log_connections = on            # 记录连接日志
   log_disconnections = on         # 记录断开连接日志
   

二、数据保护参数

1. 自动备份与WAL归档

   archive_mode = on               # 启用WAL归档
   archive_command = 'cp %p /var/lib/postgresql/wal_archive/%f'  # 归档命令（示例）
   wal_level = replica              # 或设为'logical'以支持逻辑备份
   

   • 配合工具：使用pg_dump定期全量备份，结合WAL归档实现PITR（时间点恢复）。

2. 限制数据目录权限

   • 确保数据目录（如/var/lib/postgresql/data）权限为700，所有者是PostgreSQL运行用户（如postgres）：

     chown -R postgres:postgres /var/lib/postgresql/data
     chmod 700 /var/lib/postgresql/data
     

3. 防止数据文件篡改

   • 启用data_checksums（初始化数据库时设置，无法后期修改）：

     data_checksums = on  # 检测数据页损坏
     

三、网络与访问控制

1. 绑定到特定IP

   listen_addresses = '192.168.1.100'  # 仅监听内网IP，避免暴露公网
   

2. 限制最大连接数

   max_connections = 100            # 根据服务器资源调整
   superuser_reserved_connections = 3  # 预留3个连接给超级用户
   

四、操作建议

1. 定期更新与打补丁

   • 及时升级PostgreSQL到最新稳定版，修复已知安全漏洞。

2. 使用防火墙规则

   • 仅允许应用服务器IP访问PostgreSQL端口（默认5432）：

     iptables -A INPUT -p tcp --dport 5432 -s 192.168.1.0/24 -j ACCEPT
     iptables -A INPUT -p tcp --dport 5432 -j DROP
     

3. 测试恢复流程

   • 定期验证备份和归档的可用性，确保灾难发生时能快速恢复。

示例配置文件片段

# postgresql.conf 安全相关配置
ssl = on
ssl_cert_file = '/etc/postgresql/ssl/server.crt'
ssl_key_file = '/etc/postgresql/ssl/server.key'
logging_collector = on
log_directory = '/var/log/postgresql'
log_statement = 'ddl'
archive_mode = on
archive_command = 'cp %p /var/lib/postgresql/wal_archive/%f'
max_connections = 100

通过以上配置，可显著提升PostgreSQL的数据安全性，降低泄露、篡改或丢失风险。