Scénario : Authentification du serveur PostgreSQL

Tout développer | Tout réduire

Nous vous recommandons d'utiliser un certificat TLS pour authentifier le serveur PostgreSQL. Vous pouvez utiliser un certificat d'une autorité de certification de confiance ou un certificat auto-signé. Utiliser un certificat provenant d'une autorité de certification de confiance, car un certificat auto-signé n'offre qu'une protection limitée.

Le Serveur d'administration prend en charge l'authentification SSL unidirectionnelle et bidirectionnelle pour PostgreSQL.

Suivez ces étapes pour configurer l'authentification SSL pour PostgreSQL :

1. Générez un certificat pour le serveur PostgreSQL.

   Exécutez les commande suivantes :

   openssl req -new -x509 -days 365 -nodes -text -out psql.crt -keyout psql.key -subj "/CN=psql"

   chmod og-rwx psql.key

2. Générez un certificat pour le Serveur d'administration.

   Exécutez les commande suivantes. La valeur CN doit correspondre au nom de l'utilisateur qui se connecte à PostgreSQL au nom du Serveur d'administration. Le nom d'utilisateur est défini sur postgres par défaut.

   openssl req -new -x509 -days 365 -nodes -text -out postgres.crt -keyout postgres.key -subj "/CN=postgres"

   chmod og-rwx postgres.key

3. Configurez l'authentification du certificat client.

   Modifiez pg_hba.conf comme suit :

   hostssl all all 0.0.0.0/0 md5

   Assurez-vous que pg_hba.conf n'inclut pas d'enregistrement commençant par host.

4. Spécifiez le certificat PostgreSQL.

   Authentification SSL unidirectionnelle

   Modifiez postgresql.conf comme suit (spécifiez le chemin correct vers les fichiers .crt et .key) :

   listen_addresses ='*'

   ssl = on

   ssl_cert_file = 'psql.crt'

   ssl_key_file = 'psql.key'

   Authentification SSL bidirectionnelle

   Modifiez postgresql.conf comme suit (spécifiez le chemin correct vers les fichiers .crt et .key) :

   listen_addresses ='*'

   ssl = on

   ssl_ca_file = '<postgres.crt>'

   ssl_cert_file = '<psql.crt>'

   ssl_key_file = '<psql.key>'

5. Redémarrez PostgreSQL daemon.

   Exécutez la commande suivante :

   systemctl restart postgresql-14.service

6. Spécifiez l'indicateur de serveur pour le Serveur d'administration.

   Authentification SSL unidirectionnelle

   Accédez au répertoire ServerFlags et créez un fichier qui correspond à l'indicateur de serveur KLSRV_POSTGRES_OPT_SSL_CA :

   cd /etc/opt/kaspersky/klnagent_srv/1093/1.0.0.0/ServerFlags/

   mkfile KLSRV_POSTGRES_OPT_SSL_CA

   Dans le fichier créé, spécifiez le chemin d'accès au fichier psql.crt.

   Authentification SSL bidirectionnelle

   Accédez au répertoire ServerFlags et créez les fichiers qui correspondent aux indicateurs du serveur :

   cd /etc/opt/kaspersky/klnagent_srv/1093/1.0.0.0/ServerFlags/

   mkfile KLSRV_POSTGRES_OPT_SSL_CA

   mkfile KLSRV_POSTGRES_OPT_SSL_CERT

   mkfile KLSRV_POSTGRES_OPT_SSL_KEY

   Modifiez les fichiers créés comme suit :

   • KLSRV_POSTGRES_OPT_SSL_CA : précisez le chemin d'accès au fichier psql.crt.
   • KLSRV_POSTGRES_OPT_SSL_CERT : spécifiez le chemin d'accès au fichier postgres.crt.
   • KLSRV_POSTGRES_OPT_SSL_KEY : spécifiez le chemin d'accès au fichier postgres.key.

   Si postgres.key nécessite une phrase secrète, créez un fichier KLSRV_POSTGRES_OPT_TLS_PASPHRASE dans le dossier ServerFlags et spécifiez-y la phrase secrète.

7. Relancez le service du Serveur d'administration.