PostgreSQL / 身份验证和授权
PostgreSQL 中的身份验证和授权简介
简介
控制对您的系统和数据的访问对于维护数据的安全性和完整性至关重要。PostgreSQL 提供了许多功能来帮助您管理这些问题，了解它们的工作原理是管理数据库的重要组成部分。
控制对资源的访问并定义谁可以对哪些实体执行哪些操作的领域称为身份验证和授权。本指南探讨了 PostgreSQL 提供的用于控制系统内和系统访问的工具，旨在概述每个组件及其支持的整体功能。
什么是身份验证和授权？
在深入研究 PostgreSQL 提供的这些特定工具之前，回顾一下身份验证和授权究竟是什么以及为什么它们很重要是很有帮助的。
什么是身份验证？
身份验证是验证身份的过程。在计算中，这通常意味着验证用户或实体是否是他们所声称的那样。
身份验证通常涉及挑战用户提供他们知道的秘密（如密码）、他们拥有的独特事物（如来自手机身份验证应用程序的代码）或他们独特身份的特征（如指纹身份验证）。
证明用户身份的常用方法包括
- 密码
- 密钥
- 安全证书
- 软件或硬件令牌
- 指纹读取
身份验证几乎是所有多用户系统的必要要求。不同的人或实体（如自动化工具）需要不同的功能和数据访问权限，而建立身份是为客户提供个性化体验的第一步。身份验证是一种确认系统内的帐户只能由真实世界的人员或实体使用的手段。
什么是授权？
虽然身份验证关注验证身份，但 授权 侧重于控制与这些身份或帐户相关联的功能。一旦您知道某人是谁，授权功能将确定他们可以做什么。
授权策略中的定义通常由三个组件组成
- 主体：执行操作的用户、帐户或身份
- 操作：要执行的特定功能或活动
- 对象：操作的目标资源、实体或范围
授权策略可以定义广泛、通用的规则，以及特定的、细粒度的例外，具体取决于系统提供的控制级别。一些策略将功能映射到用户“类”或“角色”，而不是映射到单个用户，以建立设定的授权级别。
授权是系统可以根据您的身份锁定功能和资源访问权限的机制。因此，它与用户管理、资源管理和安全性具有重要的关系。
PostgreSQL 如何配置身份验证和授权？
PostgreSQL 有一些相互关联的概念，它们共同满足其访问管理要求，以验证和授权用户操作。这些概念协同工作，以确定客户端代表谁以及他们可以在 PostgreSQL 中做什么。
简而言之，PostgreSQL 使用以下框架来验证和授权用户访问数据库集群
- 用户和用户类在系统中定义为角色。
- 角色的身份验证方法在
pg_hba.conf文件（基于主机的身份验证文件）中定义。 - 角色的功能和访问级别由直接授予他们的权限、通过角色成员资格或通过对象所有权定义。
更深入地探索这三个相互关联的领域可以帮助您了解它们中的每一个如何为 PostgreSQL 的访问管理功能做出贡献。
角色
PostgreSQL 没有单独的实体来表示用户和组。相反，用户帐户和用户组都作为单个统一的概念（称为角色）实现。角色是一种灵活的身份，用于表示个人用户以及用户组。
角色是 PostgreSQL 中确定身份验证和授权策略适用于谁的锚点。任何不普遍适用的策略都需要身份概念来定义限制谁和允许谁。与 PostgreSQL 数据库的每个连接都与一个特定的角色相关联，该角色确定其初始访问级别。
授权策略确定每个角色在数据库集群中拥有的权限，包括它可以执行哪些命令、可以访问哪些资源以及可以使用哪些功能。用户对角色进行身份验证以获得对这些权限的访问权限。
管理员可以将角色设为其他角色的成员，以使成员能够访问“容器”角色的权限。这种灵活性允许您将某些角色视为用户帐户的类似物，而将其他角色视为用户组、类或职责的类似物。
单个角色可以同时充当容器和成员，以实现更复杂的策略。一般来说，旨在用作用户代理的角色具有定义的身份验证策略，其授权级别由其自身的权限、它们所属角色的权限以及它们拥有的对象决定。相比之下，旨在用作组的角色通常没有关联的授权。
专门介绍角色的文章涵盖了如何在 PostgreSQL 中定义和配置角色。
pg_hba.conf 文件
pg_hba.conf 文件是定义 PostgreSQL 中身份验证策略的主要组件。在此上下文中，“HBA”代表基于主机的身份验证，指的是确定是否接受与 PostgreSQL 主机的连接的策略。
pg_hba.conf 文件允许管理员定义细粒度的身份验证要求，包括通过匹配系统。连接会根据匹配标准进行测试，以确定是否应使用身份验证策略。
策略按行定义，每行一个，字段用空格分隔。每个策略定义匹配标准和身份验证要求。
匹配标准可以根据以下标准进行检查
- 客户端连接的方式
- 他们尝试验证身份的角色
- 他们尝试访问的数据库
- 客户端的 IP 地址和网络属性
第一个与连接匹配的身份验证策略用于身份验证。PostgreSQL 提供了多种不同复杂程度的身份验证方法，从密码和证书到与外部系统（如 LDAP 和 RADIUS 服务器）协调。
由于每个连接仅查询单个策略（第一个匹配的策略），因此控制策略的特异性和顺序非常重要。不正确的顺序可能导致客户端连接匹配错误的策略，这可能会阻止用户访问系统或意外允许访问连接。
请关注我们的配置 PostgreSQL 中的身份验证指南，了解如何配置有效的 pg_hba.conf 策略。
PostgreSQL 权限和角色属性系统
PostgreSQL 授权故事的最后一部分是定义每个角色可以做什么的功能。有许多机制可以更改各种角色拥有的访问级别或控制级别。
角色属性
PostgreSQL 允许您更改角色功能的第一种方法是使用 角色属性。角色属性定义角色在整个数据库集群中拥有的权限。这些主要是特殊的管理员级别功能或帐户限制程度的表达。
最强大的属性是 superuser 属性，它使角色能够绕过 PostgreSQL 中的任何授权检查，实际上，允许它完全控制系统。其他属性允许更狭义定义的权限，例如使用 createrole 和 createdb 属性分别创建角色和数据库的能力。
属性还可以影响允许角色访问系统的方式。例如，需要 login 属性才能在初始连接中进行身份验证。同样，可以设置 connection limit 来控制角色可以建立的并发连接数。
角色属性是定义角色全局功能的主要手段。
PostgreSQL 使用另一个系统来确定角色在特定数据库对象（如数据库、表和列）方面的权限。角色与数据库对象的关系取决于其所有权状态和授予它的权限。
对象所有权
对象所有权是第一个决定因素。默认情况下，角色拥有他们自己创建的任何对象。所有权使您可以完全访问该对象，包括删除或修改对象本身等特殊权限。只有 superuser 角色才能删除或修改他们不拥有的对象。
每个数据库对象恰好有一个所有者。如果您希望多个角色拥有数据库对象的所有者权限，则需要将它们都设为一个角色的成员，并将该角色赋予所有权。
授予的对象权限
未使用对象所有者的角色可以使用 PostgreSQL 的权限授予系统获得不同级别的访问权限。
数据库对象上的权限通过 GRANT 和 REVOKE 命令进行管理。在此上下文中，GRANT 命令用于向特定数据库对象上的角色添加权限。另一方面，REVOKE 命令从角色中删除这些相同的权限。
如前所述，只有对象所有者和 superuser 角色才能删除或修改对象本身。但是，可以为对象内的数据或其他对象分配细粒度的权限。例如，对于表，SELECT、INSERT、UPDATE 和 DELETE 权限分别控制角色是否可以查看、添加、修改和删除数据。
可用权限的类型取决于所讨论的数据库对象。例如，REFERENCES 权限（允许角色创建与对象相关的外键约束）仅限于在表或表列对象上使用。这是因为例如，在序列上定义外键约束权限是没有意义的。有关哪些权限和数据库对象可以一起使用的摘要，请查看 PostgreSQL 关于权限的文档中的表 5.1 和表 5.2。
请查看我们的管理 PostgreSQL 中的权限指南，以了解有关如何使用 PostgreSQL 的授权系统的更多信息。
结论
当 PostgreSQL 的身份验证和授权系统一起查看时，最初可能看起来很复杂。但是，系统的各个组件都定义明确，并且主要与单个问题相关联。了解这些系统如何协同工作以实现强大而灵活的访问管理对于保护您的数据库及其保存的数据至关重要。
