18.3. Подключения и аутентификация #
18.3.1. Параметры подключений #
listen_addresses(string) #Задаёт адреса TCP/IP, по которым сервер будет принимать подключения клиентских приложений. Это значение принимает форму списка, разделённого запятыми, из имён и/или числовых IP-адресов узлов. Особый элемент,
*, обозначает все имеющиеся IP-интерфейсы. Запись0.0.0.0позволяет задействовать все адреса IPv4, а::— все адреса IPv6. Если список пуст, сервер не будет привязываться ни к какому IP-интерфейсу, а значит, подключиться к нему можно будет только через Unix-сокеты. При непустом списке сервер запустится, если сможет принимать подключения хотя бы по одному адресу TCP/IP. Предупреждение будет выдано для любого адреса TCP/IP, который невозможно открыть. По умолчанию этот параметр содержит localhost, что допускает подключение к серверу по TCP/IP только через локальный интерфейс «замыкания».Хотя механизм аутентификации клиентов (см. Главу 19) позволяет гибко управлять доступом пользователей к серверу, параметр
listen_addressesможет ограничить интерфейсы, через которые будут приниматься соединения, что бывает полезно для предотвращения злонамеренных попыток подключения через незащищённые сетевые интерфейсы. Этот параметр можно задать только при запуске сервера.port(integer) #TCP-порт, открываемый сервером; по умолчанию, 5432. Заметьте, что этот порт используется для всех IP-адресов, через которые сервер принимает подключения. Этот параметр можно задать только при запуске сервера.
max_connections(integer) #Определяет максимальное число одновременных подключений к серверу БД. По умолчанию обычно это 100 подключений, но это число может быть меньше, если ядро накладывает свои ограничения (это определяется в процессе initdb). Этот параметр можно задать только при запуске сервера.
Postgres Pro определяет размер некоторых ресурсов в зависимости от значения
max_connections. Увеличение этого значения приводит к выделению большего объёма этих ресурсов, включая общую память.Для ведомого сервера значение этого параметра должно быть больше или равно значению на ведущем. В противном случае на ведомом сервере не будут разрешены запросы.
reserved_connections(integer) #Определяет количество «слотов» подключений, которые PostgreSQL будет резервировать для ролей с правами роли
pg_use_reserved_connections. Когда число активных одновременных подключений больше superuser_reserved_connections, но меньше суммыsuperuser_reserved_connectionsиreserved_connections, принимаются только подключения суперпользователей и ролей с правамиpg_use_reserved_connections. Если количество подключений меньше или равноsuperuser_reserved_connections, принимаются только подключения суперпользователей.По умолчанию подключения не резервируются (параметр имеет нулевое значение). Это значение должно быть меньше значения
max_connectionsминусsuperuser_reserved_connections. Задать этот параметр можно только при запуске сервера.superuser_reserved_connections(integer) #Определяет количество «слотов» подключений, которые Postgres Pro будет резервировать для суперпользователей. При этом всего одновременно активными могут быть максимум max_connections подключений. Когда число активных одновременных подключений больше или равно
max_connectionsминусsuperuser_reserved_connections, принимаются только подключения суперпользователей. Слоты подключения, зарезервированные этим параметром, предназначены для использования в экстренных случаях, когда закончатся слоты, зарезервированные reserved_connections.По умолчанию резервируются три соединения. Это значение должно быть меньше значения
max_connectionsминусreserved_connections. Задать этот параметр можно только при запуске сервера.unix_socket_directories(string) #Задаёт каталог Unix-сокета, через который сервер будет принимать подключения клиентских приложений. Создать несколько сокетов можно, перечислив в этом значении несколько каталогов через запятую. Пробелы между элементами этого списка игнорируются; если в пути каталога содержатся пробелы, его нужно заключать в двойные кавычки. При пустом значении сервер не будет работать с Unix-сокетами, в этом случае к нему можно будет подключиться только по TCP/IP.
Значение, которое начинается с
@, указывает, что будет создан сокет домена Unix в абстрактном пространстве имён (в настоящее время поддерживается только в Linux). Такое значение задаёт не «каталог», а префикс, из которого получается фактическое имя сокета таким же образом, как и для пространства имён файловой системы. Хотя префикс имени абстрактного сокета может быть произвольным, поскольку он не задаёт путь в файловой системе, принято использовать значения, подобные путям в файловой системе, такие как@/tmp.Значение по умолчанию обычно
/tmp, но оно может быть изменено во время сборки. В Windows по умолчанию это значение не задано, то есть сокет домена Unix не создаётся. Этот параметр можно установить только при запуске сервера.Помимо самого файла сокета, который называется
.s.PGSQL.(гдеnnnnnnnn— номер порта сервера), в каждом каталогеunix_socket_directoriesсоздаётся обычный файл.s.PGSQL.. Ни в коем случае не удаляйте эти файлы вручную. Для сокетов в абстрактном пространстве имён файлnnnn.lock.lockне создаётся.unix_socket_group(string) #Задаёт группу-владельца Unix-сокетов. (Пользователем-владельцем сокетов всегда будет пользователь, запускающий сервер.) В сочетании с
unix_socket_permissionsданный параметр можно использовать как дополнительный механизм управления доступом к Unix-сокетам. По умолчанию он содержит пустую строку, то есть группой-владельцем становится основная группа пользователя, запускающего сервер. Задать этот параметр можно только при запуске сервера.В Windows данный параметр не поддерживается, так что любое его значение ни на что не влияет. Кроме того, сокеты в абстрактном пространстве имён не имеют владельца файла, поэтому для таких сокетов данный параметр также игнорируется.
unix_socket_permissions(integer) #Задаёт права доступа к Unix-сокетам. Для Unix-сокетов применяется обычный набор разрешений Unix. Значение параметра ожидается в числовом виде, который принимают функции
chmodиumask. (Для применения обычного восьмеричного формата число должно начинаться с0(нуля).)По умолчанию действуют разрешения
0777, при которых подключаться к сокету могут все. Другие разумные варианты —0770(доступ имеет только пользователь и группа, см. такжеunix_socket_group) и0700(только пользователь). (Заметьте, что для Unix-сокетов требуется только право на запись, так что добавлять или отзывать права на чтение/выполнение не имеет смысла.)Этот механизм управления доступом не зависит от описанного в Главе 19.
Этот параметр можно задать только при запуске сервера.
Данный параметр неприменим для некоторых систем, в частности, Solaris (а именно Solaris 10), которые полностью игнорируют разрешения для сокетов. В таких системах примерно тот же эффект можно получить, указав в параметре
unix_socket_directoriesкаталог, доступ к которому ограничен должным образом.Сокеты в абстрактном пространстве имён не имеют прав доступа к файлам, поэтому для таких сокетов данный параметр также игнорируется.
bonjour(boolean) #Включает объявления о существовании сервера посредством Bonjour. По умолчанию выключен. Задать этот параметр можно только при запуске сервера.
bonjour_name(string) #Задаёт имя службы в среде Bonjour. Если значение этого параметра — пустая строка (
'') (это значение по умолчанию), в качестве этого имени используется имя компьютера. Этот параметр игнорируется, если сервер был скомпилирован без поддержки Bonjour. Задать этот параметр можно только при запуске сервера.
18.3.2. Параметры TCP #
tcp_keepalives_idle(integer) #Задаёт период отсутствия сетевой активности, по истечении которого операционная система должна отправить клиенту TCP-сигнал сохранения соединения. Если это значение задаётся без единиц измерения, оно считается заданным в секундах. При значении 0 (по умолчанию) действует величина, принятая по умолчанию в операционной системе. В Windows при присваивании нулевого значения этот период устанавливается равным 2 часам, так как Windows не позволяет прочитать системное значение по умолчанию. Этот параметр поддерживается только в системах, воспринимающих параметр сокета
TCP_KEEPIDLEили равнозначный, а также в Windows; в других системах он должен быть равен нулю. В сеансах, подключённых через Unix-сокеты, он игнорируется и всегда считается равным 0.tcp_keepalives_interval(integer) #Задаёт интервал, по истечении которого следует повторять TCP-сигнал сохранения соединения, если от клиента не получено подтверждение предыдущего сигнала. Если это значение задаётся без единиц измерения, оно считается заданным в секундах. При значении 0 (по умолчанию) действует величина, принятая по умолчанию в операционной системе. В Windows при нулевом значении этот интервал устанавливается равным 1 секунде, так как Windows не позволяет прочитать системное значение по умолчанию. Этот параметр поддерживается только в системах, воспринимающих параметр сокета
TCP_KEEPINTVLили равнозначный, а также в Windows; в других системах он должен быть равен нулю. В сеансах, подключённых через Unix-сокеты, он игнорируется и всегда считается равным 0.tcp_keepalives_count(integer) #Задаёт число TCP-сигналов сохранения соединения, которые могут быть потеряны до того, как соединение сервера с клиентом будет признано прерванным. При значении 0 (по умолчанию) действует величина, принятая по умолчанию в операционной системе. Этот параметр поддерживается только в системах, воспринимающих параметр сокета
TCP_KEEPCNTили равнозначный (Windows не входит в их число); в других системах он должен быть равен нулю. В сеансах, подключённых через Unix-сокеты, он игнорируется и всегда считается равным 0.tcp_user_timeout(integer) #Задаёт интервал, в течение которого переданные данные могут оставаться неподтверждёнными, прежде чем будет принято решение о принудительном закрытии TCP-соединения. Если это значение задаётся без единиц измерения, оно считается заданным в миллисекундах. При значении 0 (по умолчанию) действует величина, принятая по умолчанию в операционной системе. Этот параметр поддерживается только в системах, воспринимающих параметр сокета
TCP_USER_TIMEOUT(Windows не входит в их число); в других системах он должен быть равен нулю. В сеансах, подключённых через доменные сокеты Unix, он игнорируется и всегда считается равным 0.client_connection_check_interval(integer) #Задаёт интервал между необязательными проверками соединения сервера с клиентом в процессе выполнения запроса. Такая проверка, заключающаяся в опросе состояния сокета, позволяет раньше прерывать длительные запросы, если ядро сообщает, что соединение закрыто.
Эта функциональность зависит от событий ядра, имеющихся только в Linux, macOS, illumos и операционных системах семейства BSD, и в настоящее время недоступна в других системах.
Если это значение задаётся без единиц измерения, оно считается заданным в миллисекундах. Значение по умолчанию —
0, то есть проверка соединения отключена. Если соединение не проверяется, сервер обнаружит разрыв соединения только при следующем обращении к сокету, когда будет передавать, ожидать или читать данные.Чтобы само ядро могло надёжно и в течение известного периода времени обнаруживать потерянные TCP-соединения во всех сценариях, включая сбой сети, также может потребоваться изменить параметры сохранения TCP-соединения в операционной системе или параметры Postgres Pro tcp_keepalives_idle, tcp_keepalives_interval и tcp_keepalives_count.
18.3.3. Аутентификация #
authentication_timeout(integer) #Максимальное время, за которое должна произойти аутентификация. Если потенциальный клиент не сможет пройти проверку подлинности за это время, сервер закроет соединение. Благодаря этому зависшие при подключении клиенты не будут занимать соединения неограниченно долго. Если это значение задаётся без единиц измерения, оно считается заданным в миллисекундах. Значение этого параметра по умолчанию — одна минута (
1m). Задать этот параметр можно только вpostgresql.confили в командной строке при запуске сервера.password_encryption(enum) #Когда в CREATE ROLE или ALTER ROLE задаётся пароль, этот параметр определяет, каким алгоритмом его шифровать. Возможные значения данного параметра —
scram-sha-256(пароль будет шифроваться алгоритмом SCRAM-SHA-256) иmd5(пароль сохраняется в виде хеша MD5). Значение по умолчанию —scram-sha-256.Учтите, что старые клиенты могут не поддерживать механизм проверки подлинности SCRAM и поэтому не будут работать с паролями, зашифрованными алгоритмом SCRAM-SHA-256. За подробностями обратитесь к Разделу 19.5.
scram_iterations(integer) #Количество вычислительных итераций при шифровании пароля с использованием SCRAM-SHA-256. Значение по умолчанию —
4096. Большее количество итераций обеспечивает дополнительную защиту сохранённых паролей от атак полным перебором, но замедляет аутентификацию. Изменение значения не влияет на существующие пароли, зашифрованные алгоритмом SCRAM-SHA-256, поскольку количество итераций фиксируется во время шифрования. Чтобы использовать изменённое значение, необходимо задать новый пароль.krb_server_keyfile(string) #Задаёт расположение файла ключей Kerberos для данного сервера. Значение по умолчанию:
FILE:/usr/local/pgsql/etc/krb5.keytab(каталог определяется значением параметраsysconfdirв процессе сборки; чтобы его узнать, выполнитеpg_config --sysconfdir). Если этот параметр содержит пустую строку, используется значение по умолчанию, зависящее от системы. Задать этот параметр можно только вpostgresql.confили в командной строке при запуске сервера. За подробностями обратитесь к Разделу 19.6.krb_caseins_users(boolean) #Определяет, должны ли имена пользователей GSSAPI обрабатываться без учёта регистра. По умолчанию значение этого параметра —
off(регистр учитывается). Задать этот параметр можно только вpostgresql.confили в командной строке при запуске сервера.gss_accept_delegation(boolean) #Определяет, должно ли приниматься делегирование учётных данных GSSAPI от клиента. По умолчанию значение этого параметра —
off, то есть учётные данные клиента не принимаются. Изменение этого параметра наonзаставит сервер принимать учётные данные, переданные ему от клиента. Задать этот параметр можно только вpostgresql.confили в командной строке при запуске сервера.
18.3.4. SSL #
За дополнительной информацией о настройке SSL обратитесь к Разделу 17.9. Параметры конфигурации для управления шифрованием передачи с использованием протоколов TLS называются ssl по историческим причинам, несмотря на то, что протокол SSL признан устаревшим. SSL в этом контексте используется взаимозаменяемо с TLS.
ssl(boolean) #Разрешает подключения SSL. Этот параметр можно задать только в
postgresql.confили в командной строке при запуске сервера. Значение по умолчанию —off.ssl_ca_file(string) #Задаёт имя файла, содержащего сертификаты центров сертификации (ЦС) для SSL-сервера. При указании относительного пути он рассматривается от каталога данных. Этот параметр можно задать только в
postgresql.confили в командной строке при запуске сервера. По умолчанию этот параметр пуст, что означает, что файл сертификатов ЦС не загружается и проверка клиентских сертификатов не производится.ssl_cert_file(string) #Задаёт имя файла, содержащего сертификат этого SSL-сервера. При указании относительного пути он рассматривается от каталога данных. Этот параметр можно задать только в
postgresql.confили в командной строке при запуске сервера. Значение по умолчанию —server.crt.ssl_crl_file(string) #Задаёт имя файла, содержащего список отзыва клиентских сертификатов (CRL, Certificate Revocation List) для SSL. При указании относительного пути он рассматривается от каталога данных. Этот параметр можно задать только в
postgresql.confили в командной строке при запуске сервера. По умолчанию этот параметр пуст, что означает, что файл CRL не загружается (если не задан параметр ssl_crl_dir).ssl_crl_dir(string) #Задаёт имя каталога, содержащего список отзыва клиентских сертификатов (CRL, Certificate Revocation List) для SSL. При указании относительного пути он рассматривается от каталога данных. Этот параметр можно задать только в
postgresql.confили в командной строке при запуске сервера. По умолчанию этот параметр пуст, что означает, что файл CRL не загружается (если не задан параметр ssl_crl_file).Каталог необходимо подготовить с помощью команды OpenSSL
openssl rehashилиc_rehash. За подробностями обратитесь к документации OpenSSL.Когда применяется этот параметр, списки отзыва сертификатов (Certificate Revocation List, CRL) в указанном каталоге загружаются при необходимости во время подключения. Новые CRL в этом каталоге будут использоваться сразу по мере добавления. Это отличает данный параметр от ssl_crl_file, с которым CRL загружаются из файла во время запуска сервера или при перезагрузке конфигурации. Эти параметры можно использовать вместе.
ssl_key_file(string) #Задаёт имя файла, содержащего закрытый ключ SSL-сервера. При указании относительного пути он рассматривается от каталога данных. Этот параметр можно задать только в
postgresql.confили в командной строке при запуске сервера. Значение по умолчанию —server.key.ssl_ciphers(string) #Задаёт список наборов шифров SSL, которые могут применяться для SSL-соединений. Синтаксис этого параметра и список поддерживаемых значений можно найти на странице ciphers руководства по OpenSSL. Этот параметр действует только для подключений TLS версии 1.2 и ниже. Для подключений TLS версии 1.3 возможность выбора шифров в настоящее время отсутствует. Значение по умолчанию —
HIGH:MEDIUM:+3DES:!aNULL. Обычно оно вполне приемлемо при отсутствии особых требований по безопасности.Задать этот параметр можно только в
postgresql.confили в командной строке при запуске сервера.Объяснение значения по умолчанию:
HIGH#Наборы шифров, в которых используются шифры из группы высокого уровня (
HIGH), (например: AES, Camellia, 3DES)MEDIUM#Наборы шифров, в которых используются шифры из группы среднего уровня (
MEDIUM) (например, RC4, SEED)+3DES#Порядок шифров для группы
HIGHпо умолчанию в OpenSSL определён некорректно. В нём 3DES оказывается выше AES128, что неправильно, так как он считается менее безопасным, чем AES128, и работает гораздо медленнее. Включение+3DESменяет этот порядок, чтобы данный алгоритм следовал после всех шифров группHIGHиMEDIUM.!aNULL#Отключает наборы анонимных шифров, не требующие проверки подлинности. Такие наборы уязвимы для атак с посредником (MITM), поэтому использовать их не следует.
Конкретные наборы шифров и их свойства очень различаются от версии к версии OpenSSL. Чтобы получить фактическую информацию о них для текущей установленной версии OpenSSL, выполните команду
openssl ciphers -v 'HIGH:MEDIUM:+3DES:!aNULL'. Учтите, что этот список фильтруется во время выполнения, в зависимости от типа ключа сервера.ssl_prefer_server_ciphers(boolean) #Определяет, должны ли шифры SSL сервера предпочитаться клиентским. Этот параметр можно задать только в
postgresql.confили в командной строке при запуске сервера. Значение по умолчанию —on.До версии Postgres Pro 9.4 этот параметр отсутствовал и предпочтение отдавалось выбору клиента. Введён этот параметр в основном для обеспечения совместимости с этими версиями. Обычно лучше использовать конфигурацию сервера, так как в конфигурации на стороне клиента более вероятны ошибки.
ssl_ecdh_curve(string) #Задаёт имя кривой для использования при обмене ключами ECDH. Эту кривую должны поддерживать все подключающиеся клиенты. Это не обязательно должна быть кривая, с которой был получен ключ сервера. Этот параметр можно задать только в
postgresql.confили в командной строке при запуске сервера. Значение по умолчанию —prime256v1.Наиболее распространённые кривые в OpenSSL —
prime256v1(NIST P-256),secp384r1(NIST P-384),secp521r1(NIST P-521). Полный список доступных кривых можно получить командойopenssl ecparam -list_curves. Однако не все из них пригодны для TLS.ssl_min_protocol_version(enum) #Задаёт минимальную версию протокола SSL/TLS, которая может использоваться. В настоящее время допускаются версии
TLSv1,TLSv1.1,TLSv1.2,TLSv1.3. Старые версии библиотеки OpenSSL могут не поддерживать все варианты; при выборе неподдерживаемой версии будет выдана ошибка. Версии протокола до TLS 1.0, а именно SSL v.2 и v.3, не будут использоваться в любом случае.Значение по умолчанию —
TLSv1.2, что соответствует рекомендациям, актуальным в индустрии на момент написания этой документации.Задать этот параметр можно только в
postgresql.confили в командной строке при запуске сервера.ssl_max_protocol_version(enum) #Задаёт максимальную версию протокола SSL/TLS, которая может использоваться. Допускаются те же версии, что и для ssl_min_protocol_version, а также пустая строка, обозначающая отсутствие ограничения версии. По умолчанию версии не ограничиваются. Устанавливать максимальную возможную версию протокола полезно прежде всего для тестирования или в случае проблем при использовании нового протокола какими-то компонентами.
Задать этот параметр можно только в
postgresql.confили в командной строке при запуске сервера.ssl_dh_params_file(string) #Задаёт имя файла с параметрами алгоритма Диффи-Хеллмана, применяемого для так называемого эфемерного семейства DH шифров SSL. По умолчанию значение пустое, то есть используются стандартные параметры DH, заданные при компиляции. Использование нестандартных параметров DH защищает от атаки, рассчитанной на взлом хорошо известных встроенных параметров DH. Создать собственный файл с параметрами DH можно, выполнив команду
openssl dhparam -out dhparams.pem 2048.Задать этот параметр можно только в
postgresql.confили в командной строке при запуске сервера.ssl_passphrase_command(string) #Задаёт внешнюю команду, которая будет вызываться, когда потребуется пароль для расшифровывания SSL-файла, например закрытого ключа. По умолчанию этот параметр не определён, то есть пароль будет запрашиваться встроенным механизмом.
Эта команда должна вывести пароль на устройство стандартного вывода и завершиться с кодом 0. В строке параметра
%pзаменяется строкой приглашения. (Напишите%%, чтобы вывести%буквально.) Заметьте, что строка приглашения, вероятно, будет содержать пробелы, так что её нужно будет заключить в кавычки. Если в конце добавлен один перевод строки, он будет отфильтрован при выводе.Эта команда не обязательно должна запрашивать пароль у пользователя. Она может считать его из файла, извлечь из системной связки ключей или получить другими подобными средствами. Ответственность за выбор достаточно безопасного механизма возлагается на пользователя.
Задать этот параметр можно только в
postgresql.confили в командной строке при запуске сервера.ssl_passphrase_command_supports_reload(boolean) #Этот параметр определяет, будет ли заданная параметром
ssl_passphrase_commandкоманда, запрашивающая пароль, также вызываться при перезагрузке конфигурации, если для файла ключа требуется пароль. Когда этот параметр отключён (по умолчанию), командаssl_passphrase_commandбудет игнорироваться при перезагрузке, и конфигурация SSL не будет обновляться, если требуется пароль. Это значение подходит для команды, требующей для ввода пароля наличия терминала TTY, который может быть недоступен в процессе работы сервера. Включение данного параметра может быть уместно, если, например, пароль считывается из файла.Задать этот параметр можно только в
postgresql.confили в командной строке при запуске сервера.
18.3. Connections and Authentication #
18.3.1. Connection Settings #
listen_addresses(string) #Specifies the TCP/IP address(es) on which the server is to listen for connections from client applications. The value takes the form of a comma-separated list of host names and/or numeric IP addresses. The special entry
*corresponds to all available IP interfaces. The entry0.0.0.0allows listening for all IPv4 addresses and::allows listening for all IPv6 addresses. If the list is empty, the server does not listen on any IP interface at all, in which case only Unix-domain sockets can be used to connect to it. If the list is not empty, the server will start if it can listen on at least one TCP/IP address. A warning will be emitted for any TCP/IP address which cannot be opened. The default value is localhost, which allows only local TCP/IP “loopback” connections to be made.While client authentication (Chapter 19) allows fine-grained control over who can access the server,
listen_addressescontrols which interfaces accept connection attempts, which can help prevent repeated malicious connection requests on insecure network interfaces. This parameter can only be set at server start.port(integer) #The TCP port the server listens on; 5432 by default. Note that the same port number is used for all IP addresses the server listens on. This parameter can only be set at server start.
max_connections(integer) #Determines the maximum number of concurrent connections to the database server. The default is typically 100 connections, but might be less if your kernel settings will not support it (as determined during initdb). This parameter can only be set at server start.
Postgres Pro sizes certain resources based directly on the value of
max_connections. Increasing its value leads to higher allocation of those resources, including shared memory.When running a standby server, you must set this parameter to the same or higher value than on the primary server. Otherwise, queries will not be allowed in the standby server.
reserved_connections(integer) #Determines the number of connection “slots” that are reserved for connections by roles with privileges of the
pg_use_reserved_connectionsrole. Whenever the number of free connection slots is greater than superuser_reserved_connections but less than or equal to the sum ofsuperuser_reserved_connectionsandreserved_connections, new connections will be accepted only for superusers and roles with privileges ofpg_use_reserved_connections. Ifsuperuser_reserved_connectionsor fewer connection slots are available, new connections will be accepted only for superusers.The default value is zero connections. The value must be less than
max_connectionsminussuperuser_reserved_connections. This parameter can only be set at server start.superuser_reserved_connections(integer) #Determines the number of connection “slots” that are reserved for connections by Postgres Pro superusers. At most max_connections connections can ever be active simultaneously. Whenever the number of active concurrent connections is at least
max_connectionsminussuperuser_reserved_connections, new connections will be accepted only for superusers. The connection slots reserved by this parameter are intended as final reserve for emergency use after the slots reserved by reserved_connections have been exhausted.The default value is three connections. The value must be less than
max_connectionsminusreserved_connections. This parameter can only be set at server start.unix_socket_directories(string) #Specifies the directory of the Unix-domain socket(s) on which the server is to listen for connections from client applications. Multiple sockets can be created by listing multiple directories separated by commas. Whitespace between entries is ignored; surround a directory name with double quotes if you need to include whitespace or commas in the name. An empty value specifies not listening on any Unix-domain sockets, in which case only TCP/IP sockets can be used to connect to the server.
A value that starts with
@specifies that a Unix-domain socket in the abstract namespace should be created (currently supported on Linux only). In that case, this value does not specify a “directory” but a prefix from which the actual socket name is computed in the same manner as for the file-system namespace. While the abstract socket name prefix can be chosen freely, since it is not a file-system location, the convention is to nonetheless use file-system-like values such as@/tmp.The default value is normally
/tmp, but that can be changed at build time. On Windows, the default is empty, which means no Unix-domain socket is created by default. This parameter can only be set at server start.In addition to the socket file itself, which is named
.s.PGSQL.wherennnnnnnnis the server's port number, an ordinary file named.s.PGSQL.will be created in each of thennnn.lockunix_socket_directoriesdirectories. Neither file should ever be removed manually. For sockets in the abstract namespace, no lock file is created.unix_socket_group(string) #Sets the owning group of the Unix-domain socket(s). (The owning user of the sockets is always the user that starts the server.) In combination with the parameter
unix_socket_permissionsthis can be used as an additional access control mechanism for Unix-domain connections. By default this is the empty string, which uses the default group of the server user. This parameter can only be set at server start.This parameter is not supported on Windows. Any setting will be ignored. Also, sockets in the abstract namespace have no file owner, so this setting is also ignored in that case.
unix_socket_permissions(integer) #Sets the access permissions of the Unix-domain socket(s). Unix-domain sockets use the usual Unix file system permission set. The parameter value is expected to be a numeric mode specified in the format accepted by the
chmodandumasksystem calls. (To use the customary octal format the number must start with a0(zero).)The default permissions are
0777, meaning anyone can connect. Reasonable alternatives are0770(only user and group, see alsounix_socket_group) and0700(only user). (Note that for a Unix-domain socket, only write permission matters, so there is no point in setting or revoking read or execute permissions.)This access control mechanism is independent of the one described in Chapter 19.
This parameter can only be set at server start.
This parameter is irrelevant on systems, notably Solaris as of Solaris 10, that ignore socket permissions entirely. There, one can achieve a similar effect by pointing
unix_socket_directoriesto a directory having search permission limited to the desired audience.Sockets in the abstract namespace have no file permissions, so this setting is also ignored in that case.
bonjour(boolean) #Enables advertising the server's existence via Bonjour. The default is off. This parameter can only be set at server start.
bonjour_name(string) #Specifies the Bonjour service name. The computer name is used if this parameter is set to the empty string
''(which is the default). This parameter is ignored if the server was not compiled with Bonjour support. This parameter can only be set at server start.
18.3.2. TCP Settings #
tcp_keepalives_idle(integer) #Specifies the amount of time with no network activity after which the operating system should send a TCP keepalive message to the client. If this value is specified without units, it is taken as seconds. A value of 0 (the default) selects the operating system's default. On Windows, setting a value of 0 will set this parameter to 2 hours, since Windows does not provide a way to read the system default value. This parameter is supported only on systems that support
TCP_KEEPIDLEor an equivalent socket option, and on Windows; on other systems, it must be zero. In sessions connected via a Unix-domain socket, this parameter is ignored and always reads as zero.tcp_keepalives_interval(integer) #Specifies the amount of time after which a TCP keepalive message that has not been acknowledged by the client should be retransmitted. If this value is specified without units, it is taken as seconds. A value of 0 (the default) selects the operating system's default. On Windows, setting a value of 0 will set this parameter to 1 second, since Windows does not provide a way to read the system default value. This parameter is supported only on systems that support
TCP_KEEPINTVLor an equivalent socket option, and on Windows; on other systems, it must be zero. In sessions connected via a Unix-domain socket, this parameter is ignored and always reads as zero.tcp_keepalives_count(integer) #Specifies the number of TCP keepalive messages that can be lost before the server's connection to the client is considered dead. A value of 0 (the default) selects the operating system's default. This parameter is supported only on systems that support
TCP_KEEPCNTor an equivalent socket option (which does not include Windows); on other systems, it must be zero. In sessions connected via a Unix-domain socket, this parameter is ignored and always reads as zero.tcp_user_timeout(integer) #Specifies the amount of time that transmitted data may remain unacknowledged before the TCP connection is forcibly closed. If this value is specified without units, it is taken as milliseconds. A value of 0 (the default) selects the operating system's default. This parameter is supported only on systems that support
TCP_USER_TIMEOUT(which does not include Windows); on other systems, it must be zero. In sessions connected via a Unix-domain socket, this parameter is ignored and always reads as zero.client_connection_check_interval(integer) #Sets the time interval between optional checks that the client is still connected, while running queries. The check is performed by polling the socket, and allows long running queries to be aborted sooner if the kernel reports that the connection is closed.
This option relies on kernel events exposed by Linux, macOS, illumos and the BSD family of operating systems, and is not currently available on other systems.
If the value is specified without units, it is taken as milliseconds. The default value is
0, which disables connection checks. Without connection checks, the server will detect the loss of the connection only at the next interaction with the socket, when it waits for, receives or sends data.For the kernel itself to detect lost TCP connections reliably and within a known timeframe in all scenarios including network failure, it may also be necessary to adjust the TCP keepalive settings of the operating system, or the tcp_keepalives_idle, tcp_keepalives_interval and tcp_keepalives_count settings of Postgres Pro.
18.3.3. Authentication #
authentication_timeout(integer) #Maximum amount of time allowed to complete client authentication. If a would-be client has not completed the authentication protocol in this much time, the server closes the connection. This prevents hung clients from occupying a connection indefinitely. If this value is specified without units, it is taken as seconds. The default is one minute (
1m). This parameter can only be set in thepostgresql.conffile or on the server command line.password_encryption(enum) #When a password is specified in CREATE ROLE or ALTER ROLE, this parameter determines the algorithm to use to encrypt the password. Possible values are
scram-sha-256, which will encrypt the password with SCRAM-SHA-256, andmd5, which stores the password as an MD5 hash. The default isscram-sha-256.Note that older clients might lack support for the SCRAM authentication mechanism, and hence not work with passwords encrypted with SCRAM-SHA-256. See Section 19.5 for more details.
scram_iterations(integer) #The number of computational iterations to be performed when encrypting a password using SCRAM-SHA-256. The default is
4096. A higher number of iterations provides additional protection against brute-force attacks on stored passwords, but makes authentication slower. Changing the value has no effect on existing passwords encrypted with SCRAM-SHA-256 as the iteration count is fixed at the time of encryption. In order to make use of a changed value, a new password must be set.krb_server_keyfile(string) #Sets the location of the server's Kerberos key file. The default is
FILE:/usr/local/pgsql/etc/krb5.keytab(where the directory part is whatever was specified assysconfdirat build time; usepg_config --sysconfdirto determine that). If this parameter is set to an empty string, it is ignored and a system-dependent default is used. This parameter can only be set in thepostgresql.conffile or on the server command line. See Section 19.6 for more information.krb_caseins_users(boolean) #Sets whether GSSAPI user names should be treated case-insensitively. The default is
off(case sensitive). This parameter can only be set in thepostgresql.conffile or on the server command line.gss_accept_delegation(boolean) #Sets whether GSSAPI delegation should be accepted from the client. The default is
offmeaning credentials from the client will not be accepted. Changing this toonwill make the server accept credentials delegated to it from the client. This parameter can only be set in thepostgresql.conffile or on the server command line.
18.3.4. SSL #
See Section 17.9 for more information about setting up SSL. The configuration parameters for controlling transfer encryption using TLS protocols are named ssl for historic reasons, even though support for the SSL protocol has been deprecated. SSL is in this context used interchangeably with TLS.
ssl(boolean) #Enables SSL connections. This parameter can only be set in the
postgresql.conffile or on the server command line. The default isoff.ssl_ca_file(string) #Specifies the name of the file containing the SSL server certificate authority (CA). Relative paths are relative to the data directory. This parameter can only be set in the
postgresql.conffile or on the server command line. The default is empty, meaning no CA file is loaded, and client certificate verification is not performed.ssl_cert_file(string) #Specifies the name of the file containing the SSL server certificate. Relative paths are relative to the data directory. This parameter can only be set in the
postgresql.conffile or on the server command line. The default isserver.crt.ssl_crl_file(string) #Specifies the name of the file containing the SSL client certificate revocation list (CRL). Relative paths are relative to the data directory. This parameter can only be set in the
postgresql.conffile or on the server command line. The default is empty, meaning no CRL file is loaded (unless ssl_crl_dir is set).ssl_crl_dir(string) #Specifies the name of the directory containing the SSL client certificate revocation list (CRL). Relative paths are relative to the data directory. This parameter can only be set in the
postgresql.conffile or on the server command line. The default is empty, meaning no CRLs are used (unless ssl_crl_file is set).The directory needs to be prepared with the OpenSSL command
openssl rehashorc_rehash. See its documentation for details.When using this setting, CRLs in the specified directory are loaded on-demand at connection time. New CRLs can be added to the directory and will be used immediately. This is unlike ssl_crl_file, which causes the CRL in the file to be loaded at server start time or when the configuration is reloaded. Both settings can be used together.
ssl_key_file(string) #Specifies the name of the file containing the SSL server private key. Relative paths are relative to the data directory. This parameter can only be set in the
postgresql.conffile or on the server command line. The default isserver.key.ssl_ciphers(string) #Specifies a list of SSL cipher suites that are allowed to be used by SSL connections. See the ciphers manual page in the OpenSSL package for the syntax of this setting and a list of supported values. Only connections using TLS version 1.2 and lower are affected. There is currently no setting that controls the cipher choices used by TLS version 1.3 connections. The default value is
HIGH:MEDIUM:+3DES:!aNULL. The default is usually a reasonable choice unless you have specific security requirements.This parameter can only be set in the
postgresql.conffile or on the server command line.Explanation of the default value:
HIGH#Cipher suites that use ciphers from
HIGHgroup (e.g., AES, Camellia, 3DES)MEDIUM#Cipher suites that use ciphers from
MEDIUMgroup (e.g., RC4, SEED)+3DES#The OpenSSL default order for
HIGHis problematic because it orders 3DES higher than AES128. This is wrong because 3DES offers less security than AES128, and it is also much slower.+3DESreorders it after all otherHIGHandMEDIUMciphers.!aNULL#Disables anonymous cipher suites that do no authentication. Such cipher suites are vulnerable to MITM attacks and therefore should not be used.
Available cipher suite details will vary across OpenSSL versions. Use the command
openssl ciphers -v 'HIGH:MEDIUM:+3DES:!aNULL'to see actual details for the currently installed OpenSSL version. Note that this list is filtered at run time based on the server key type.ssl_prefer_server_ciphers(boolean) #Specifies whether to use the server's SSL cipher preferences, rather than the client's. This parameter can only be set in the
postgresql.conffile or on the server command line. The default ison.Postgres Pro versions before 9.4 do not have this setting and always use the client's preferences. This setting is mainly for backward compatibility with those versions. Using the server's preferences is usually better because it is more likely that the server is appropriately configured.
ssl_ecdh_curve(string) #Specifies the name of the curve to use in ECDH key exchange. It needs to be supported by all clients that connect. It does not need to be the same curve used by the server's Elliptic Curve key. This parameter can only be set in the
postgresql.conffile or on the server command line. The default isprime256v1.OpenSSL names for the most common curves are:
prime256v1(NIST P-256),secp384r1(NIST P-384),secp521r1(NIST P-521). The full list of available curves can be shown with the commandopenssl ecparam -list_curves. Not all of them are usable in TLS though.ssl_min_protocol_version(enum) #Sets the minimum SSL/TLS protocol version to use. Valid values are currently:
TLSv1,TLSv1.1,TLSv1.2,TLSv1.3. Older versions of the OpenSSL library do not support all values; an error will be raised if an unsupported setting is chosen. Protocol versions before TLS 1.0, namely SSL version 2 and 3, are always disabled.The default is
TLSv1.2, which satisfies industry best practices as of this writing.This parameter can only be set in the
postgresql.conffile or on the server command line.ssl_max_protocol_version(enum) #Sets the maximum SSL/TLS protocol version to use. Valid values are as for ssl_min_protocol_version, with addition of an empty string, which allows any protocol version. The default is to allow any version. Setting the maximum protocol version is mainly useful for testing or if some component has issues working with a newer protocol.
This parameter can only be set in the
postgresql.conffile or on the server command line.ssl_dh_params_file(string) #Specifies the name of the file containing Diffie-Hellman parameters used for so-called ephemeral DH family of SSL ciphers. The default is empty, in which case compiled-in default DH parameters used. Using custom DH parameters reduces the exposure if an attacker manages to crack the well-known compiled-in DH parameters. You can create your own DH parameters file with the command
openssl dhparam -out dhparams.pem 2048.This parameter can only be set in the
postgresql.conffile or on the server command line.ssl_passphrase_command(string) #Sets an external command to be invoked when a passphrase for decrypting an SSL file such as a private key needs to be obtained. By default, this parameter is empty, which means the built-in prompting mechanism is used.
The command must print the passphrase to the standard output and exit with code 0. In the parameter value,
%pis replaced by a prompt string. (Write%%for a literal%.) Note that the prompt string will probably contain whitespace, so be sure to quote adequately. A single newline is stripped from the end of the output if present.The command does not actually have to prompt the user for a passphrase. It can read it from a file, obtain it from a keychain facility, or similar. It is up to the user to make sure the chosen mechanism is adequately secure.
This parameter can only be set in the
postgresql.conffile or on the server command line.ssl_passphrase_command_supports_reload(boolean) #This parameter determines whether the passphrase command set by
ssl_passphrase_commandwill also be called during a configuration reload if a key file needs a passphrase. If this parameter is off (the default), thenssl_passphrase_commandwill be ignored during a reload and the SSL configuration will not be reloaded if a passphrase is needed. That setting is appropriate for a command that requires a TTY for prompting, which might not be available when the server is running. Setting this parameter to on might be appropriate if the passphrase is obtained from a file, for example.This parameter can only be set in the
postgresql.conffile or on the server command line.