En oversigt over PostgreSQL 13 libpq sslpassword-forbindelsesparametre

Et vigtigt aspekt at huske er CN-navnet i certifikater. Betragt det som mere en identifikation eller navnet på enheden. I ovenstående klientcertifikat, hvis CN er sat til 'postgres', er det beregnet til en rolle ved navn postgres. Under opsætningen af ​​servercertifikatet brugte vi også CN=pgServer; det kan have betydning, når vi bruger en fuld-bekræftelsestilstand for SSL-forbindelse.

Tid til at kopiere certifikaterne til klientmaskinen for at prøve SSL-forbindelsen:

[[email protected]]$ scp -r client_certs/* [email protected]:~/.postgresql 

Som standard i Linux/Unix-miljøer, når psql bruges til at lave SSL-forbindelser, søger den efter certifikat/nøgler i '${HOME}/.postgresql' for den aktuelle bruger. Alle disse filer kan også specificeres i forbindelsesparametre - Det ville dog have forplumret det, vi vil teste.

På pgClient-maskinen skal du ændre tilladelsen for postgresql.key for at sikre, at PostgreSQL accepterer det samme.

[[email protected]]$ chmod 0600 ~/.postgresql/postgresql.key 

Test af funktionen 

PSQL-forbindelsesparameter 

Vi er stort set færdige med opsætningen af ​​miljøet. Lad os prøve at oprette en SSL-forbindelse:

[[email protected]]$ psql "host=172.25.130.189 port=5432 user=postgres dbname=postgres sslmode=prefer"

Enter PEM pass phrase: 

Nå! Det hele startede kun med ovenstående prompt. Hvis vi har et batchprogram eller et automatiseringsscript, er prompten lidt vanskelig at håndtere. Med den nye tilføjelse af parameteren 'sslpassword' i forbindelsesstrengen er det nu nemt at specificere det som nedenfor:

[[email protected]]$ psql "host=172.25.130.189 port=5432 user=postgres dbname=postgres sslmode=prefer sslpassword=secretclientpass" 

Forbindelsen skulle være vellykket efter dette uden nogen prompt.

Libpq Hook for SSL-adgangskode

Historien fortsætter - der er tilføjet en hook-funktion 'PQsetSSLKeyPassHook_OpenSSL' i Libpq-grænsefladen. Dette kan bruges af klientapplikationer, som muligvis ikke har adgang til nøgleadgangssætningen og skal generere/hente fra en ekstern grænseflade ved hjælp af en kompleks logik.

void PQsetSSLKeyPassHook_OpenSSL(PQsslKeyPassHook_OpenSSL_type hook); 

En tilbagekaldsfunktion af typen PQsslKeyPassHook_OpenSSL_type kan registreres ved hjælp af denne hook. Tilbagekaldet vil blive påkaldt af Libpq, når der er behov for at få en adgangssætning. Signaturen for en sådan tilbagekaldsfunktion skal være:

int my_callback_function(char *buf, int size, PGconn *conn); 

Herunder er et eksempelprogram 'client_conn.c' - som demonstrerer integration af sådan en krog:

#include <stdlib.h>

#include <string.h>

#include "libpq-fe.h"

void do_exit(PGconn *conn) {

    PQfinish(conn);

    exit(1);

}

/**

 * For PQsetSSLKeyPassHook_OpenSSL to provide password for SSL Key

 **/

int ssl_password_provider(char *buf, int size, PGconn *conn)

{    

    const char * default_key_password = "secretclientpass";

    strcpy(buf, default_key_password);

    return strlen(default_key_password);

}

/**

 * Sample program to make a connection and check server version

 */

int main() 

{

    PQsetSSLKeyPassHook_OpenSSL( ssl_password_provider );

    PGconn *conn = PQconnectdb("host=172.25.130.189 port=5413 user=postgres dbname=postgres sslmode=prefer");

    if (PQstatus(conn) == CONNECTION_BAD) 

    {

        fprintf(stderr, "Connection to DB failed: %s\n", PQerrorMessage(conn));

        do_exit(conn);

    }

    printf("Server version: %d\n", PQserverVersion(conn));

    PQfinish(conn);

    return 0;

} 

Kompiler og kør det samme for at kontrollere, om det virkelig virker:

[[email protected]]$ gcc -DUSE_OPENSSL  -I/usr/pgsql-13/include/ -lpq -L/usr/pgsql-13/lib/ client_conn.c -o client_conn

[[email protected]]$ client_conn

[[email protected]]$ ./client_conn

Server version: 130000 

En sidste advarsel

Ovenstående blog viser en lille, men nyttig ændring i Libpq/psql-forbindelsesparametre for certifikatbaseret godkendelse i PostgreSQL. Men en advarsel - i ovenstående praktiske øvelse har vi brugt selvsignerede certifikater; det passer måske ikke særlig godt ind i din organisation/produktionsmiljø. Du kan søge at få nogle tredjepartscertifikater for at bruge en sådan SSL-opsætning.