PostgreSQL教程（5）pb_hba.conf 配置与数据库远程登录

一、PostgreSQL 基于主机认证介绍

PGSQL通过 pb_hba.conf 文件可以实现基于主机的认证，其作用类似于操作系统的防火墙，通过认证配置来控制哪些主机、哪些用户是否可以访问数据库。该配置文件在PG实例初始化后会自动创建，并且没有配置相关的放行规则，这也是为什么PGSQL数据库在安装完成后无法直接远程连接的原因

二、pg_hba.conf 配置说明

该配置文件默认存放在数据目录中。通过一条条记录来进行用户权限验证，规则的配置类似 visudo，从上往下逐行进行匹配，一旦被匹配上就按照该规则的方法进行处理，并且不再继续对后面规则进行匹配。所以在实际的配置中建议将精确规则写在最前面，范围大的规则写在后面

1、pg_hba.conf 配置说明

cat pg_hba.conf
#TYPE    DATABASE           USER          ADDRESS            METHOD
host      all           all          0.0.0.0/0               trust
host      test_db        tanglu           0.0.0.0/0              md5
host      all           all          127.0.0.1/32              ident map=testmap

#pg_ident.conf
testmap                 os_user          postgres

#为dba用户放行，可以通过任何主机连接数据库
host    all             dba             0.0.0.0/0                scram-sha-256

· TYPE：该字段用于配置客户端连接类型，local代表本地socket连接；host是通过TCP/IP进行的连接；hostssl表示SSL加密连接

· DATABASE：指定具体的数据库，使用 all 表示所有数据库；replication 用于流复制

· USER：客户端连接时的用户名，使用 all 表示所有用户

· ADDRESS：客户端连接地址，127.0.0.1/32表示本机；0.0.0.0/0表示所有网络；ipaddr/netmask表示具体某个主机；host_name表示/etc/host文件中存在的主机

· METHOD：指定认证方法，trust代表该客户端被信任，无需密码认证；scram-sha-256、md5和password三种方法实现密码认证，password和md5在安全性上较低，推荐使用scram-sha-256；reject代表拒绝连接，相当于黑名单；此外还有peer和ident两种双认证方法，主要用于实现操作系统用户映射和操作系统用户+数据库用户双认证

2、修改监听地址

vi $PGDATA/postgresql.conf
#主要修改内容
listen_addresses = '*'
port = 5432

3、创建管理账号

用postgres用户登录psql后执行

CREATE ROLE [账号名] WITH LOGIN PASSWORD '[密码]' SUPERUSER CREATEDB CREATEROLE;

4、生效配置

listen_addresses改动必须重启才生效

pg_ctl restart -D $PGDATA

如果只改了pg_hba.conf，reload即可

pg_ctl reload -D $PGDATA

数据库postgresqlpgsql