加布里埃尔·巴托利尼：CNPG 食谱 25 - CloudNativePG 1.30 中的声明性角色与无密码 TLS
内容提要
CloudNativePG 1.30引入了DatabaseRole CRD和无密码TLS客户端证书功能，允许应用团队声明性管理PostgreSQL凭据，简化了角色管理和RBAC。DatabaseRole支持自动生成和续订TLS证书，增强了安全性，提升了数据库角色管理效率，减少了攻击面。
关键要点
-
CloudNativePG 1.30引入了DatabaseRole CRD，允许应用团队声明性管理PostgreSQL凭据。
-
DatabaseRole支持自动生成和续订TLS证书，增强了安全性。
-
角色管理从Cluster规范中分离，提供了更清晰的GitOps和RBAC界面。
-
DatabaseRole是独立的Kubernetes对象，具有自己的生命周期和状态。
-
无密码TLS客户端证书功能使得应用团队可以在不处理密码的情况下连接数据库。
-
通过DatabaseRole，证书的管理变得声明性，自动续订和删除。
-
CloudNativePG 1.30还引入了其他安全性增强功能，如SCRAM密码编码和认证操作员与实例之间的通信。
-
未来版本将继续扩展权限管理，目标是实现更全面的声明性管理。
延伸解读
声明性角色管理的优势
CloudNativePG 1.30引入的DatabaseRole CRD使得角色管理变得更加清晰和高效。通过将角色从Cluster规范中分离，应用团队可以独立管理自己的PostgreSQL凭据，避免了对Cluster的写访问权限。这种分离不仅提高了安全性，还简化了RBAC的管理，适合采用GitOps的团队使用。
无密码TLS的安全性提升
无密码TLS客户端证书功能的引入，允许应用团队在不处理密码的情况下安全连接数据库。这一功能通过自动生成和续订TLS证书，减少了密码管理的复杂性和潜在的安全风险。结合DatabaseRole的声明性管理，整体提升了数据库的安全性和管理效率。
未来的权限管理扩展
尽管CloudNativePG 1.30在角色和证书管理上取得了重要进展，但权限管理仍是未来版本的重点。计划在1.31版本中引入数据库级的GRANT/REVOKE功能，以实现更全面的声明性管理。这将进一步增强数据库的安全性和灵活性，值得用户关注。
延伸问答
CloudNativePG 1.30 中引入了哪些新功能？
CloudNativePG 1.30 引入了 DatabaseRole CRD 和无密码 TLS 客户端证书功能，简化了 PostgreSQL 凭据管理。
DatabaseRole CRD 的主要优势是什么？
DatabaseRole CRD 允许应用团队独立管理 PostgreSQL 角色，提供更清晰的 GitOps 和 RBAC 界面，增强了安全性和管理效率。
无密码 TLS 客户端证书如何工作？
无密码 TLS 客户端证书通过 DatabaseRole 自动生成和续订，允许应用团队在不处理密码的情况下安全连接数据库。
如何在 CloudNativePG 中管理数据库角色？
在 CloudNativePG 中，数据库角色通过 DatabaseRole CRD 进行声明性管理，具有独立的生命周期和状态。
CloudNativePG 1.30 的安全性增强功能有哪些？
CloudNativePG 1.30 增强了安全性，包括 SCRAM 密码编码和认证操作员与实例之间的通信。
未来版本的 CloudNativePG 计划有哪些？
未来版本将继续扩展权限管理，目标是实现更全面的声明性管理，包括数据库级的 GRANT/REVOKE 功能。
