Для чтения журналов достаточно использовать группу, от имени которой запущен экземпляр СУБД. Для этого группе нужно выдать доступ на чтение файлов журнала и затем в эту же группу поместить пользователя, от имени которого запущен коллектор. Как правило, это группа postgres.

Дополнительно требуется настроить конфигурацию экземпляра СУБД таким образом, чтобы новые файлы журналов создавались с нужными правами доступа. Это достигается путём изменения параметра log_file_mode и перезагрузки конфигурации. Параметр можно изменить напрямую через файл конфигурации, с помощью ALTER SYSTEM или используя средства автоматизации и IaC (Infrastructure as Code, инфраструктура как код).

В примере ниже изменение выполняется через подключение к экземпляру СУБД и использование ALTER SYSTEM.

psql -U postgres -c 'ALTER SYSTEM SET log_file_mode TO "0640"'
psql -U postgres -c 'SELECT pg_reload_conf()'

Задайте пароль при создании пользователя:

sudo -u postgres createuser --pwprompt otelcol

Для настройки прав подключитесь к экземпляру СУБД и выполните следующую команду:

GRANT pg_monitor TO otelcol;

При использовании плагинов, требующих подключения к другим БД (сбор таблиц, индексов, раздувания), правила HBA (Host-Based Authentication, аутентификация на основе хоста) необходимо согласовать с правилами коллектора:

СУБД <productame>PostgreSQL</productame> поддерживает большое количество методов аутентификации. При настройке правил HBA следует ориентироваться на метод, используемый в вашем случае.

Пример настройки доступа к БД postgres с помощью метода scram-sha-256:

vi pg_hba.conf

local  postgres  otelcol                 scram-sha-256
host   postgres  otelcol  127.0.0.1/32   scram-sha-256

В этом примере возможности подключения ограничены только одной базой postgres. В случае, когда коллектор настроен на сбор данных с других БД, в конфигурацию HBA необходимо внести соответствующие разрешающие правила.

После внесения изменений перезагрузите конфигурацию экземпляра СУБД:

sudo -u postgres psql -c 'SELECT pg_reload_conf()'

Различные типы собираемых данных требуют доступа к различным внутренним функциям системы. Доступ к этим функциям ограничен для обычных пользователей, так как они могут раскрывать конфиденциальную информацию. Поэтому предоставление доступа должно согласовываться с политиками безопасности компании.

Для сбора данных по потерянным («orphaned») файлам пользователь СУБД должен иметь права на выполнение функций pg_ls_dir и pg_stat_file для всех целевых БД:

GRANT EXECUTE ON FUNCTION pg_ls_dir(text) TO otelcol ;
GRANT EXECUTE ON FUNCTION pg_stat_file(text) TO otelcol ;

Параметры подключения к экземпляру БД регулируются в конфигурации ресивера postgrespro файла конфигурации коллектора. Учётные данные пользователя должны быть указаны в параметрах endpoint, database, username и password (пароль можно передать через переменную окружения):

receivers:
postgrespro:
  transport: tcp
  endpoint: localhost:5432
  database: postgres
  username: otelcol
  password: ${env:POSTGRESQL_PASSWORD}