脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 数据库 → 数据库其它 → CA证书强化PostgreSQL的安全性

设置CA证书来强化PostgreSQL的安全性的教程

 更新时间：2015年04月21日 11:06:45   投稿：goldensun  
这篇文章主要介绍了设置CA证书来强化PostgreSQL的安全性的教程,主要用到了CA私钥,需要的朋友可以参考下

在经历了多次的摸索实验后我终于成功地实现了SSL证书认证的功能，因此我想这次我要把这些步骤记录下来供日后查阅。

出于安全和方便的原因，我要在一台单独的专用机器上签署客户的证书，这台机器也称为 证书授证中心(CA)。

这让我们在授权新的客户端时不必先登录到PostgreSQL服务器然后再签署证书或者修改pg_hba.conf。

我们要创建一个特殊的数据库组，叫sslcertusers。这个组里的所有用户都可以通过由CA签署的证书进行连接。

在下面的例子中，请将"trustly"替换成你的公司名或组织名。所有的命令都是基于Ubuntu Linux 12.04 LTS。
 
设置CA
CA应该是一台离线的处于高度安全环境中的计算机。

生成CA私钥
 

sudo openssl genrsa -des3 -out /etc/ssl/private/trustly-ca.key 2048
sudo chown root:ssl-cert /etc/ssl/private/trustly-ca.key
sudo chmod 640 /etc/ssl/private/trustly-ca.key

生成CA证书
 

sudo openssl req -new -x509 -days 3650 \
-subj '/C=SE/ST=Stockholm/L=Stockholm/O=Trustly/CN=trustly' \
-key /etc/ssl/private/trustly-ca.key \
-out /usr/local/share/ca-certificates/trustly-ca.crt
sudo update-ca-certificates

配置PostgreSQL服务器
生成PostgreSQL服务器私钥
 

# Remove default snakeoil certs
sudo rm /var/lib/postgresql/9.1/main/server.key
sudo rm /var/lib/postgresql/9.1/main/server.crt
# Enter a passphrase
sudo -u postgres openssl genrsa -des3 -out /var/lib/postgresql/9.1/main/server.key 2048
# Remove the passphrase
sudo -u postgres openssl rsa -in /var/lib/postgresql/9.1/main/server.key -out /var/lib/postgresql/9.1/main/server.key
sudo -u postgres chmod 400 /var/lib/postgresql/9.1/main/server.key

生成PostgreSQL服务器证书签署请求(CSR)

 

sudo -u postgres openssl req -new -nodes -key /var/lib/postgresql/9.1/main/server.key -days 3650 -out /tmp/server.csr -subj '/C=SE/ST=Stockholm/L=Stockholm/O=Trustly/CN=postgres'

用CA私钥签署PostgreSQL服务器证书请求
 

sudo openssl req -x509 \
-key /etc/ssl/private/trustly-ca.key \
-in /tmp/server.csr \
-out /var/lib/postgresql/9.1/main/server.crt
sudo chown postgres:postgres /var/lib/postgresql/9.1/main/server.crt

创建根(root)证书=PostgreSQL服务器证书+CA证书
 

sudo -u postgres sh -c 'cat /var/lib/postgresql/9.1/main/server.crt /etc/ssl/certs/trustly-ca.pem > /var/lib/postgresql/9.1/main/root.crt'
sudo cp /var/lib/postgresql/9.1/main/root.crt /usr/local/share/ca-certificates/trustly-postgresql.crt
sudo update-ca-certificates

授权访问
 

CREATE GROUP sslcertusers;
ALTER GROUP sslcertusers ADD USER joel;
 
# /etc/postgresql/9.1/main/pg_hba.conf:
hostssl nameofdatabase +sslcertusers 192.168.1.0/24 cert clientcert=1

重启PostgreSQL
 

sudo service postgresql restart

PostgreSQL客户端设置
从PostgreSQL服务器上复制根证书
 

mkdir ~/.postgresql
cp /etc/ssl/certs/trustly-postgresql.pem ~/.postgresql/root.crt

生成PostgreSQL客户端私钥
 

openssl genrsa -des3 -out ~/.postgresql/postgresql.key 1024
 
# If this is a server, remove the passphrase:
openssl rsa -in ~/.postgresql/postgresql.key -out ~/.postgresql/postgresql.key

生成PostgreSQL客户端证书签署请求并签署
 

# Replace "joel" with username:
openssl req -new -key ~/.postgresql/postgresql.key -out ~/.postgresql/postgresql.csr -subj '/C=SE/ST=Stockholm/L=Stockholm/O=Trustly/CN=joel'
sudo openssl x509 -req -in ~/.postgresql/postgresql.csr -CA /etc/ssl/certs/trustly-ca.pem -CAkey /etc/ssl/private/trustly-ca.key -out ~/.postgresql/postgresql.crt -CAcreateserial
sudo chown joel:joel -R ~/.postgresql
sudo chmod 400 -R ~/.postgresql/postgresql.key

您可能感兴趣的文章:

相关文章

  • sqlmap之os shell图文详细解析

    sqlmap之os shell图文详细解析

    在面那些出名的安全厂商时,面试官很喜欢问os-shell相关的原理,下面这篇文章主要给大家介绍了关于sqlmap之os shell图文详细解析的相关资料,需要的朋友可以参考下
    2023-03-03
  • 建立在Tablestore的Wifi设备监管系统架构实现

    建立在Tablestore的Wifi设备监管系统架构实现

    一般大公司会有许多园区，园区内会有不同部门的同事在一起办公。每个园区内都要配备大量的Wifi设备从而为园区同事提供方便的上网服务。因此，集团需要一套完善的监管系统维护所有的Wifi设备。需要的朋友来一起学习下吧
    2019-05-05
  • where 子句的执行顺序

    where 子句的执行顺序

    貌似在2005之前的版本中，where子句的顺序是从前往后的。但是又貌似在2005的版本中进行了优化，所有的顺序都被统一成了以过滤能力进行排序的语句。
    2009-04-04
  • SQL注入的2个小Trick及示例总结

    SQL注入的2个小Trick及示例总结

    这篇文章主要给大家介绍了关于SQL注入的2个小Trick的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
    2018-11-11
  • 浅谈数据库索引的作用及原理

    浅谈数据库索引的作用及原理

    这篇文章主要介绍了浅谈数据库索引的作用及原理的相关内容，涉及索引加速和加索引的时间等，希望通过这篇文章让大家对索引有一个初步的了解，需要的朋友可以参考下。
    2017-09-09
  • SQL SERVER的字段类型说明

    SQL SERVER的字段类型说明

    以下为SQL SERVER 7.0以上版本的字段类型说明。SQL SERVER6.5的字段类型说明请参考
    2008-04-04
  • Mybatis查询延迟加载详解及实例

    Mybatis查询延迟加载详解及实例

    这篇文章主要介绍了Mybatis查询延迟加载详解及实例的相关资料,Mybatis的延迟加载默认是关闭的，即默认是一次就将所有的嵌套SQL一并查了将对象所有的信息都查询出来。开启延迟加载有两种方式，需要的朋友可以参考下
    2017-01-01
  • 隐式转换引起的sql慢查询实战记录

    隐式转换引起的sql慢查询实战记录

    大家知道数据库为了提高查询速度，增加索引是必不可少的，但是有些时候即使你加了索引也不定有效果，这篇文章主要给大家介绍了一次因为隐式转换引起的sql慢查询的相关资料，需要的朋友可以参考下。
    2018-04-04
  • SQL嵌套查询总结

    SQL嵌套查询总结

    这是我写的一个结合UINON的嵌套查询. 将五个方面的报表放到一个临时表里,再从临时表里,将所要的数据查询出来.
    2008-10-10
  • 快速解决openGauss数据库pg_xlog爆满问题

    快速解决openGauss数据库pg_xlog爆满问题

    这篇文章主要介绍了openGauss数据库pg_xlog爆满问题解决,本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下
    2023-04-04

最新评论