openGauss设置安全策略

参考：https://opengauss.org/zh/docs/2.1.0/docs/Developerguide/%E8%AE%BE%E7%BD%AE%E5%AE%89%E5%85%A8%E7%AD%96%E7%95%A5.html

设置帐户安全策略

openGauss为帐户提供了自动锁定和解锁帐户、手动锁定和解锁异常帐户和删除不再使用的帐户等一系列的安全措施，保证数据安全。

自动锁定和解锁帐户

• 为了保证帐户安全，如果用户输入密码次数超过一定次数（failed_login_attempts），系统将自动锁定该帐户，默认值为10。次数设置越小越安全，但是在使用过程中会带来不便。

• 当帐户被锁定时间超过设定值（password_lock_time），则当前帐户自动解锁，默认值为1天。时间设置越长越安全，但是在使用过程中会带来不便。

  说明：
  - 参数password_lock_time的整数部分表示天数，小数部分可以换算成时、分、秒。
  - 当failed_login_attempts设置为0时，表示不限制密码错误次数。当password_lock_time设置为0时，表示即使超过密码错误次数限制导致帐户锁定，也会在短时间内自动解锁。因此，只有两个配置参数都为正数时，才可以进行常规的密码失败检查、帐户锁定和解锁操作。
  - 这两个参数的默认值都符合安全标准，用户可以根据需要重新设置参数，提高安全等级。建议用户使用默认值。

配置failed_login_attempts参数。

1. 以操作系统用户omm登录数据库主节点。

2. 使用如下命令连接数据库。

   gsql -d postgres -p 8000

   1	gsql -d postgres -p 8000

   postgres为需要连接的数据库名称，8000为数据库主节点的端口号。

   连接成功后，系统显示类似如下信息：

   gsql ((openGauss 1.0 build 290d125f) compiled at 2020-05-08 02:59:43 commit 2143 last mr 131 Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help. openGauss=#

   1 2 3 4 5

   gsql ((openGauss 1.0 build 290d125f) compiled at 2020-05-08 02:59:43 commit 2143 last mr 131 Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help.   openGauss=#

3. 查看已配置的参数。

   openGauss=# SHOW failed_login_attempts; failed_login_attempts ----------------------- 10 (1 row)

   1 2 3 4 5

   openGauss=# SHOW failed_login_attempts; failed_login_attempts ----------------------- 10 (1 row)

   如果显示结果不为10，执行“\q”命令退出数据库。

4. 执行如下命令设置成默认值10。

   gs_guc reload -D /gaussdb/data/dbnode -c "failed_login_attempts=10"

   1	gs_guc reload -D /gaussdb/data/dbnode -c "failed_login_attempts=10"

配置password_lock_time参数。

1. 以操作系统用户omm登录数据库主节点。

2. 使用如下命令连接数据库。

   gsql -d postgres -p 8000

   1	gsql -d postgres -p 8000

   postgres为需要连接的数据库名称，8000为数据库主节点的端口号。

   连接成功后，系统显示类似如下信息：

   gsql ((openGauss 1.0 build 290d125f) compiled at 2020-05-08 02:59:43 commit 2143 last mr 131 Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help. openGauss=#

   1 2 3 4 5

   gsql ((openGauss 1.0 build 290d125f) compiled at 2020-05-08 02:59:43 commit 2143 last mr 131 Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help.   openGauss=#

3. 查看已配置的参数。

   openGauss=# SHOW password_lock_time; password_lock_time ----------------------- 1 (1 row)

   1 2 3 4 5

   openGauss=# SHOW password_lock_time; password_lock_time ----------------------- 1 (1 row)

   如果显示结果不为1，执行“\q”命令退出数据库。

   本人提供Oracle(OCP、OCM)、MySQL(OCP)、PostgreSQL(PGCA、PGCE、PGCM)等数据库的培训和考证业务，私聊QQ646634621或微信db_bao，谢谢！

4. 执行如下命令设置成默认值1。

   gs_guc reload -N all -I all -c "password_lock_time=1"

   1	gs_guc reload -N all -I all -c "password_lock_time=1"

手动锁定和解锁帐户

若管理员发现某帐户被盗、非法访问等异常情况，可手动锁定该帐户。

当管理员认为帐户恢复正常后，可手动解锁该帐户。

以手动锁定和解锁用户joe为例，用户的创建请参见用户，命令格式如下：

• 手动锁定

  openGauss=# ALTER USER joe ACCOUNT LOCK; ALTER ROLE

  1 2	openGauss=# ALTER USER joe ACCOUNT LOCK; ALTER ROLE

• 手动解锁

  openGauss=# ALTER USER joe ACCOUNT UNLOCK; ALTER ROLE

  1 2	openGauss=# ALTER USER joe ACCOUNT UNLOCK; ALTER ROLE

删除不再使用的帐户

当确认帐户不再使用，管理员可以删除帐户。该操作不可恢复。

当删除的用户正处于活动状态时，此会话状态不会立马断开，用户在会话状态断开后才会被完全删除。

以删除帐户joe为例，命令格式如下：

设置帐号有效期

注意事项

创建新用户时，需要限制用户的操作期限（有效开始时间和有效结束时间）。

不在有效操作期内的用户需要重新设定帐号的有效操作期。

操作步骤

1. 以操作系统用户omm登录数据库主节点。

2. 使用如下命令连接数据库。

   gsql -d postgres -p 8000

   1	gsql -d postgres -p 8000

   postgres为需要连接的数据库名称，8000为数据库主节点的端口号。

   连接成功后，系统显示类似如下信息：

   gsql ((openGauss 1.0 build 290d125f) compiled at 2020-05-08 02:59:43 commit 2143 last mr 131 Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help. openGauss=#

   1 2 3 4 5

   gsql ((openGauss 1.0 build 290d125f) compiled at 2020-05-08 02:59:43 commit 2143 last mr 131 Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help.   openGauss=#

3. 创建用户并制定用户的有效开始时间和有效结束时间。

   CREATE USER joe WITH PASSWORD 'XXXXXXXXX' VALID BEGIN '2015-10-10 08:00:00' VALID UNTIL '2016-10-10 08:00:00';

   1	CREATE USER joe WITH PASSWORD 'XXXXXXXXX' VALID BEGIN '2015-10-10 08:00:00' VALID UNTIL '2016-10-10 08:00:00';

   显示如下信息表示创建用户成功。

   CREATE ROLE

   1	CREATE ROLE

4. 用户已不在有效使用期内，需要重新设定帐号的有效期，这包括有效开始时间和有效结束时间。

   ALTER USER joe WITH VALID BEGIN '2016-11-10 08:00:00' VALID UNTIL '2017-11-10 08:00:00';

   1	ALTER USER joe WITH VALID BEGIN '2016-11-10 08:00:00' VALID UNTIL '2017-11-10 08:00:00';

   显示如下信息表示重新设定成功。

   ALTER ROLE

   1	ALTER ROLE

说明：
若在“CREATE ROLE”或“ALTER ROLE”语法中不指定“VALID BEGIN”，表示不对用户的开始操作时间做限定；若不指定“VALID UNTIL”，表示不对用户的结束操作时间做限定；若两者均不指定，表示该用户一直有效。

设置密码安全策略

用户密码存储在系统表pg_authid中，为防止用户密码泄露，openGauss对用户密码进行加密存储，所采用的加密算法由配置参数password_encryption_type决定。

• 当参数password_encryption_type设置为0时，表示采用md5方式对密码加密。MD5加密算法安全性低，存在安全风险，不建议使用。
• 当参数password_encryption_type设置为1时，表示采用sha256和md5方式对密码加密。MD5加密算法安全性低，存在安全风险，不建议使用。
• 当参数password_encryption_type设置为2时，表示采用sha256方式对密码加密，为默认配置。
• 当参数password_encryption_type设置为3时，表示采用sm3方式对密码加密。

1. 以操作系统用户omm登录数据库主节点。

2. 使用如下命令连接数据库。

   gsql -d postgres -p 8000

   1	gsql -d postgres -p 8000

   postgres为需要连接的数据库名称，8000为数据库主节点的端口号。

   连接成功后，系统显示类似如下信息：

   gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help. openGauss=#

   1 2 3 4 5

   gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help.   openGauss=#

3. 查看已配置的加密算法。

   openGauss=# SHOW password_encryption_type; password_encryption_type -------------------------- 2 (1 row)

   1 2 3 4 5

   openGauss=# SHOW password_encryption_type; password_encryption_type -------------------------- 2 (1 row)

   如果显示结果为0或1，执行“\q”命令退出数据库。

4. 执行如下命令将其设置为安全的加密算法。

   gs_guc reload -N all -I all -c "password_encryption_type=2"

   1	gs_guc reload -N all -I all -c "password_encryption_type=2"

   须知： 为防止用户密码泄露，在执行CREATE USER/ROLE命令创建数据库用户时，不能指定UNENCRYPTED属性，即新创建的用户的密码只能是加密存储的。

5. 配置密码安全参数。

   密码复杂度

   初始化数据库、创建用户、修改用户时需要指定密码。密码必须要符合复杂度（password_policy）的要求，否则会提示用户重新输入密码。

   • 参数password_policy设置为1时表示采用密码复杂度校验，默认值。
   • 参数password_policy设置为0时表示不采用任何密码复杂度校验，设置为0会存在安全风险，不建议设置为0，即使需要设置也要将所有openGauss节点中的password_policy都设置为0才能生效。

   配置password_policy参数。

   1. 使用如下命令连接数据库。

      gsql -d postgres -p 8000

      1	gsql -d postgres -p 8000

      postgres为需要连接的数据库名称，8000为数据库主节点的端口号。

      连接成功后，系统显示类似如下信息：

      gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help. openGauss=#

      1 2 3 4 5

      gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help.   openGauss=#

   2. 查看已配置的参数。

      openGauss=# SHOW password_policy; password_policy --------------------- 1 (1 row)

      1 2 3 4 5

      openGauss=# SHOW password_policy; password_policy --------------------- 1 (1 row)

      如果显示结果不为1，执行“\q”命令退出数据库。

   3. 执行如下命令设置成默认值1。

      gs_guc reload -N all -I all -c "password_policy=1"

      1	gs_guc reload -N all -I all -c "password_policy=1"

说明：

帐户密码的复杂度要求如下：

• 包含大写字母（A-Z）的最少个数（password_min_uppercase）

• 包含小写字母（a-z）的最少个数（password_min_lowercase）

• 包含数字（0-9）的最少个数（password_min_digital）

• 包含特殊字符的最少个数（password_min_special）（特殊字符的列表请参见表1）

• 密码的最小长度（password_min_length）

• 密码的最大长度（password_max_length）

• 至少包含上述四类字符中的三类。

• 不能和用户名、用户名倒写相同，本要求为非大小写敏感。

• 不能和当前密码、当前密码的倒写相同。

• 不能是弱口令。

• 弱口令指的是强度较低，容易被破解的密码，对于不同的用户或群体，弱口令的定义可能会有所区别，用户需自己添加定制化的弱口令。

• 弱口令字典中的口令存放在gs_global_config系统表中，当创建用户、修改用户需要设置密码时，系统将会把用户设置口令和弱口令字典中存放的口令进行对比，如果符合，则会提示用户该口令为弱口令，设置密码失败。

• 弱口令字典默认为空，用户通过以下语法可以对弱口令字典进行增加和删除，示例如下：

  openGauss=# CREATE WEAK PASSWORD DICTIONARY WITH VALUES ('password1'), ('password2'); openGauss=# DROP WEAK PASSWORD DICTIONARY;

  1 2	openGauss=# CREATE WEAK PASSWORD DICTIONARY WITH VALUES ('password1'), ('password2'); openGauss=# DROP WEAK PASSWORD DICTIONARY;

密码重用

用户修改密码时，只有超过不可重用天数（password_reuse_time）或不可重用次数（password_reuse_max）的密码才可以使用。参数配置说明如表2所示。

说明： 不可重用天数默认值为60天，不可重用次数默认值是0。这两个参数值越大越安全，但是在使用过程中会带来不便，其默认值符合安全标准，用户可以根据需要重新设置参数，提高安全等级。

配置password_reuse_time参数。

1. 使用如下命令连接数据库。

   gsql -d postgres -p 8000

   1	gsql -d postgres -p 8000

   postgres为需要连接的数据库名称，8000为数据库主节点的端口号。

   连接成功后，系统显示类似如下信息：

   gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help. openGauss=#

   1 2 3 4 5

   gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help.   openGauss=#

2. 查看已配置的参数。

   openGauss=# SHOW password_reuse_time; password_reuse_time --------------------- 60 (1 row)

   1 2 3 4 5

   openGauss=# SHOW password_reuse_time; password_reuse_time --------------------- 60 (1 row)

   如果显示结果不为60，执行“\q”命令退出数据库。

3. 执行如下命令设置成默认值60。

   说明： 不建议设置为0，即使需要设置也要将所有openGauss节点中的password_reuse_time都设置为0才能生效。

   gs_guc reload -N all -I all -c "password_reuse_time=60"

   1	gs_guc reload -N all -I all -c "password_reuse_time=60"

配置password_reuse_max参数。

1. 使用如下命令连接数据库。

   gsql -d postgres -p 8000

   1	gsql -d postgres -p 8000

   postgres为需要连接的数据库名称，8000为数据库主节点的端口号。

   连接成功后，系统显示类似如下信息：

   gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help. openGauss=#

   1 2 3 4 5

   gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help.   openGauss=#

2. 查看已配置的参数。

   openGauss=# SHOW password_reuse_max; password_reuse_max -------------------- 0 (1 row)

   1 2 3 4 5

   openGauss=# SHOW password_reuse_max; password_reuse_max -------------------- 0 (1 row)

   如果显示结果不为0，执行“\q”命令退出数据库。

3. 执行如下命令设置成默认值0。

   gs_guc reload -N all -I all -c "password_reuse_max = 0"

   1	gs_guc reload -N all -I all -c "password_reuse_max = 0"

密码有效期限

数据库用户的密码都有密码有效期（password_effect_time），当达到密码到期提醒天数（password_notify_time）时，系统会在用户登录数据库时提示用户修改密码。

说明： 考虑到数据库使用特殊性及业务连续性，密码过期后用户还可以登录数据库，但是每次登录都会提示修改密码，直至修改为止。

配置password_effect_time参数。

1. 使用如下命令连接数据库。

   gsql -d postgres -p 8000

   1	gsql -d postgres -p 8000

   postgres为需要连接的数据库名称，8000为数据库主节点的端口号。

   连接成功后，系统显示类似如下信息：

   gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help. openGauss=#

   1 2 3 4 5

   gsql ((openGauss x.x.x build 50dc16a6) compiled at 2020-11-29 05:49:21 commit 1071 last mr 1373) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help.   openGauss=#

   2. 查看已配置的参数。

      openGauss=# SHOW password_effect_time; password_effect_time ---------------------- 90 (1 row)

      1 2 3 4 5

      openGauss=# SHOW password_effect_time; password_effect_time ---------------------- 90 (1 row)

      如果显示结果不为90，执行“\q”命令退出数据库。

   3. 执行如下命令设置成默认值90（不建议设置为0）。

      gs_guc reload -N all -I all -c "password_effect_time = 90"

      1 2	gs_guc reload -N all -I all -c "password_effect_time = 90"

配置password_notify_time参数。

1. 使用如下命令连接数据库。

postgres为需要连接的数据库名称，8000为数据库主节点的端口号。

连接成功后，系统显示类似如下信息：

2. 查看已配置的参数。

3. 如果显示结果不为7，执行如下命令设置成默认值7（不建议设置为0）。

密码修改

• 在安装数据库时，会新建一个和初始化用户重名的操作系统用户，为了保证帐户安全，请定期修改操作系统用户的密码。

  以修改用户user1密码为例，命令格式如下：

根据提示信息完成修改密码操作。

• 建议系统管理员和普通用户都要定期修改自己的帐户密码，避免帐户密码被非法窃取。

  以修改用户user1密码为例，以系统管理员用户连接数据库并执行如下命令：

  openGauss=# ALTER USER user1 IDENTIFIED BY "1234@abc" REPLACE "5678@def"; ALTER ROLE

  1 2	openGauss=# ALTER USER user1 IDENTIFIED BY "1234@abc" REPLACE "5678@def"; ALTER ROLE

  说明： 1234@abc、5678@def分别代表用户user1的新密码和原始密码，这些密码要符合规则，否则会执行失败。

• 管理员可以修改自己的或者其他帐户的密码。通过修改其他帐户的密码，解决用户密码遗失所造成无法登录的问题。

  以修改用户joe帐户密码为例，命令格式如下：

  openGauss=# ALTER USER joe IDENTIFIED BY "abc@1234"; ALTER ROLE

  1 2	openGauss=# ALTER USER joe IDENTIFIED BY "abc@1234"; ALTER ROLE

  说明： - 系统管理员之间不允许互相修改对方密码。

  • 系统管理员可以修改普通用户密码且不需要用户原密码。
  • 系统管理员修改自己密码但需要管理员原密码。

• 密码验证

  设置当前会话的用户和角色时，需要验证密码。如果输入密码与用户的存储密码不一致，则会报错。

  以设置用户joe为例，命令格式如下：

  openGauss=# SET ROLE joe PASSWORD "abc@1234"; ERROR: Invalid username/password,set role denied.

  1 2	openGauss=# SET ROLE joe PASSWORD "abc@1234"; ERROR:  Invalid username/password,set role denied.

表 1 特殊字符

表 2 不可重用天数和不可重用次数参数说明

设置用户密码失效

具有CREATEROLE权限的用户在创建用户时可以强制用户密码失效，新用户首次登陆数据库后需要修改密码才允许执行其他查询操作，命令格式如下：

具有CREATEROLE权限的用户可以强制用户密码失效或者强制修改密码且失效，命令格式如下：

说明：

• 密码失效的用户登录数据库后，当执行简单查询或者扩展查询时，会提示用户修改密码。修改密码后可以正常执行语句。
• 只有初始用户、系统管理员（sysadmin）或拥有创建用户（CREATEROLE）权限的用户才可以设置用户密码失效，其中系统管理员也可以设置自己或其他系统管理员密码失效。不允许设置初始用户密码失效。