DEV Community
·
PostgreSQL中的SCRAM认证与SCRAM透传认证
内容提要
PostgreSQL支持多种客户端认证方法，推荐使用scram-sha-256密码认证。SCRAM认证在特定条件下触发，用户密码以scram-sha-256格式存储。PostgreSQL 18引入SCRAM透传认证，允许在不存储明文密码的情况下，使用ClientKey在不同服务器间进行认证，增强安全性。
关键要点
-
PostgreSQL支持多种客户端认证方法，推荐使用scram-sha-256密码认证。
-
SCRAM认证在特定条件下触发，用户密码以scram-sha-256格式存储。
-
PostgreSQL 18引入SCRAM透传认证，允许在不存储明文密码的情况下进行认证。
-
SCRAM认证需要满足三个条件：用户密码以scram-sha-256格式存储，用户在数据库中注册了密码，pg_hba.conf中选择的认证方法为scram-sha-256或md5。
-
用户密码存储在pg_authid系统目录的rolpassword列中，格式遵循RFC 5803。
-
密码注册可以通过CREATE ROLE或ALTER ROLE命令的PASSWORD子句进行。
-
PostgreSQL工具提供客户端计算方法以避免发送明文密码。
-
SCRAM透传认证利用ClientKey在不同服务器间进行认证，增强安全性。
-
PostgreSQL 18的postgres_fdw支持SCRAM透传认证，避免存储明文密码。
-
SCRAM ClientKey和ServerKey在成功认证后被保存，用于后续的认证过程。
-
DBA需验证任何添加模块的可信性，以确保安全性。
延伸解读
SCRAM认证的安全性
SCRAM认证通过将用户密码以scram-sha-256格式存储，增强了密码的安全性。相比传统的md5认证，SCRAM能够有效防止密码被暴力破解。用户在注册密码时，建议使用客户端计算方法，以避免明文密码的传输，从而进一步提升安全性。
SCRAM透传认证的应用场景
PostgreSQL 18引入的SCRAM透传认证功能，允许在不同服务器间进行认证而无需存储明文密码。这一特性特别适用于需要跨服务器访问的场景，如使用postgres_fdw时，可以简化认证流程并提高安全性。
DBA的安全责任
尽管SCRAM认证和透传认证增强了安全性，数据库管理员仍需对添加的模块进行信任验证。由于ClientKey在内存中保留，若有不可信的模块可能导致安全隐患，因此DBA应谨慎管理和审查所有扩展。
延伸问答
PostgreSQL中SCRAM认证的主要特点是什么？
SCRAM认证主要特点是用户密码以scram-sha-256格式存储，并在特定条件下触发。
如何在PostgreSQL中注册用户密码？
用户密码可以通过CREATE ROLE或ALTER ROLE命令的PASSWORD子句进行注册。
SCRAM透传认证的作用是什么？
SCRAM透传认证允许在不存储明文密码的情况下，使用ClientKey在不同服务器间进行认证，增强安全性。
SCRAM认证需要满足哪些条件？
SCRAM认证需要满足三个条件：用户密码以scram-sha-256格式存储，用户在数据库中注册了密码，pg_hba.conf中选择的认证方法为scram-sha-256或md5。
PostgreSQL 18中引入了哪些新特性？
PostgreSQL 18引入了SCRAM透传认证，允许在连接到外部服务器时不存储明文密码。
DBA在使用SCRAM认证时需要注意什么？
DBA需验证任何添加模块的可信性，以确保安全性，特别是在SCRAM认证中保留ClientKey的情况下。
