Escenario: autenticación del servidor PostgreSQL

Expandir todo | Contraer todo

Le recomendamos que utilice un certificado TLS para autenticar el servidor PostgreSQL. Puede usar un certificado de una autoridad de certificación (AC) de confianza o un certificado autofirmado. Utilice un certificado de una CA de confianza porque un certificado autofirmado solo proporciona protección limitada.

El Servidor de administración es compatible con la autenticación SSL unidireccional y bidireccional de PostgreSQL.

Siga estos pasos para configurar la autenticación SSL de PostgreSQL:

1. Genere un certificado para el servidor PostgreSQL.

   Ejecute los siguientes comandos:

   openssl req -new -x509 -days 365 -nodes -text -out psql.crt -keyout psql.key -subj "/CN=psql"

   chmod og-rwx psql.key

2. Genere un certificado para el Servidor de administración.

   Ejecute los siguientes comandos. El valor CN debe coincidir con el nombre del usuario que se conecta a PostgreSQL en nombre del Servidor de administración. De manera predeterminada, el nombre de usuario configurado es postgres.

   openssl req -new -x509 -days 365 -nodes -text -out postgres.crt -keyout postgres.key -subj "/CN=postgres"

   chmod og-rwx postgres.key

3. Configure la autenticación del certificado cliente.

   Modifique pg_hba.conf de la siguiente manera:

   hostssl all all 0.0.0.0/0 md5

   Asegúrese de que pg_hba.conf no incluya un registro que comience con host.

4. Especifique el certificado del servidor PostgreSQL.

   Autenticación SSL unidireccional

   Modifique postgresql.conf de la siguiente manera (especifique la ruta correcta a los archivos .crt y .key):

   listen_addresses ='*'

   ssl = on

   ssl_cert_file = 'psql.crt'

   ssl_key_file = 'psql.key'

   Autenticación SSL bidireccional

   Modifique postgresql.conf de la siguiente manera (especifique la ruta correcta a los archivos .crt y .key):

   listen_addresses ='*'

   ssl = on

   ssl_ca_file = '<postgres.crt>'

   ssl_cert_file = '<psql.crt>'

   ssl_key_file = '<psql.key>'

5. Reinicie el demonio PostgreSQL.

   Ejecute el siguiente comando:

   systemctl restart postgresql-14.service

6. Especifique el indicador de servidor para el Servidor de administración.

   Autenticación SSL unidireccional

   Navegue hasta el directorio ServerFlags y cree un archivo que corresponda al indicador de servidor KLSRV_POSTGRES_OPT_SSL_CA:

   cd /etc/opt/kaspersky/klnagent_srv/1093/1.0.0.0/ServerFlags/

   mkfile KLSRV_POSTGRES_OPT_SSL_CA

   En el archivo creado, especifique la ruta al archivo psql.crt.

   Autenticación SSL bidireccional

   Navegue hasta el directorio ServerFlags y cree archivos que correspondan a los indicadores de servidor:

   cd /etc/opt/kaspersky/klnagent_srv/1093/1.0.0.0/ServerFlags/

   mkfile KLSRV_POSTGRES_OPT_SSL_CA

   mkfile KLSRV_POSTGRES_OPT_SSL_CERT

   mkfile KLSRV_POSTGRES_OPT_SSL_KEY

   Edite los archivos creados de la siguiente manera:

   • KLSRV_POSTGRES_OPT_SSL_CA: especifique la ruta al archivo psql.crt.
   • KLSRV_POSTGRES_OPT_SSL_CERT: especifique la ruta al archivo postgres.crt.
   • KLSRV_POSTGRES_OPT_SSL_KEY: especifique la ruta al archivo postgres.key.

   Si postgres.key requiere una contraseña, cree un archivo KLSRV_POSTGRES_OPT_TLS_PASPHRASE en la carpeta ServerFlags y especifique la contraseña en él.

7. Reinicie el servicio del Servidor de administración.