Для чтения журналов достаточно использовать группу, от имени которой запущен экземпляр СУБД. Для этого группе нужно выдать доступ на чтение файлов журнала и затем в эту же группу поместить пользователя, от имени которого запущен коллектор. Как правило, это группа postgres.

Дополнительно требуется настроить конфигурацию экземпляра СУБД таким образом, чтобы новые файлы журналов создавались с нужными правами доступа. Это достигается путём изменения параметра log_file_mode и перезагрузки конфигурации. Параметр можно изменить напрямую через файл конфигурации, с помощью ALTER SYSTEM или используя средства автоматизации и IaC (Infrastructure as Code, инфраструктура как код).

В примере ниже изменение выполняется через подключение к экземпляру СУБД и использование ALTER SYSTEM.

psql -U postgres -c 'ALTER SYSTEM SET log_file_mode TO "0640"'
psql -U postgres -c 'SELECT pg_reload_conf()'

Задайте пароль при создании пользователя:

sudo -u postgres createuser --pwprompt otelcol

Для настройки прав подключитесь к экземпляру СУБД и выполните следующую команду:

GRANT pg_monitor TO otelcol;

При использовании плагинов, требующих подключения к другим БД (сбор таблиц, индексов, раздувания), правила HBA (Host-Based Authentication, аутентификация на основе хоста) необходимо согласовать с правилами коллектора:

СУБД PostgreSQL поддерживает большое количество методов аутентификации. При настройке правил HBA следует ориентироваться на метод, используемый в вашем случае.

Пример настройки доступа к БД postgres с помощью метода scram-sha-256:

vi pg_hba.conf

local  postgres  otelcol                 scram-sha-256
host   postgres  otelcol  127.0.0.1/32   scram-sha-256

В этом примере возможности подключения ограничены только одной базой postgres. В случае, когда коллектор настроен на сбор данных с других БД, в конфигурацию HBA необходимо внести соответствующие разрешающие правила.

После внесения изменений перезагрузите конфигурацию экземпляра СУБД:

sudo -u postgres psql -c 'SELECT pg_reload_conf()'

Различные типы собираемых данных требуют доступа к различным внутренним функциям системы. Доступ к этим функциям ограничен для обычных пользователей, так как они могут раскрывать конфиденциальную информацию. Поэтому предоставление доступа должно согласовываться с политиками безопасности компании.

За информацией о правах доступа, необходимых для бесперебойной работы, обратитесь к Разделу 3.1.

Параметры подключения к экземпляру СУБД регулируются в конфигурации ресивера postgrespro файла конфигурации коллектора. Учётные данные пользователя должны быть указаны в параметрах endpoint, database, username и password (пароль можно передать через переменную окружения):

receivers:
postgrespro:
  transport: tcp
  endpoint: localhost:5432
  database: postgres
  username: otelcol
  password: ${env:POSTGRESQL_PASSWORD}

pgpro-otel-collector поддерживает регулярные выражения в конфигурации ACL (Access Control List, список контроля доступа) как для списков разрешений, так и запретов. Регулярные выражения избавляют от необходимости вручную обновлять конфигурации ACL при создании новых объектов базы данных. Вместо перечисления отдельных объектов можно задать шаблоны, которые автоматически добавляют или исключают объекты на основе их имён. Пример такого регулярного выражения приведён ниже.

receivers:
  postgrespro:
    transport: tcp
    endpoint: &endpoint localhost:5432
    database: postgres
    username: postgres
    password: ${env:POSTGRESQL_PASSWORD}
    collection_interval: 60s
    initial_delay: 1s
    max_threads: 3
    plugins:
      databases:
        allow:
          - name: db1.*
            schemas:
              - name: sch1.*
                tables:
                  - name: tb1.*
                  - name: tb2.*
                    indexes:
                    - name: idx2.*
      activity:
        enabled: true
      tables:
        enabled: true
      indexes:
        enabled: true
        # Списки разрешений можно настраивать для отдельного плагина
        # databases:
        #   - name: db1.*
        #     schemas:
        #       - name: sch1.*
        #         tables:
        #           - name: tb1.*
        #           - name: tb2.*
        #             indexes:
        #             - name: idx2.*
      functions:
        enabled: true
      bloat_tables:
        enabled: true
      bloat_indexes:
        enabled: true