CentOS上pgAdmin安全设置指南

1. 修改默认密码

• PostgreSQL超级用户密码：默认的postgres用户密码为空，需立即修改为强密码（包含大小写字母、数字、特殊字符，长度≥12位）。执行命令：
  sudo -u postgres psql -c "ALTER USER postgres PASSWORD 'YourStrongPassword123!'";
• pgAdmin自身密码：为pgAdmin管理员账户设置强密码，并定期更换（建议每90天更换一次）。避免使用默认密码或简单易猜的密码（如admin123）。

2. 配置防火墙限制访问

• 使用firewalld：仅允许特定IP地址或IP段访问pgAdmin默认端口（5050），关闭其他不必要端口。执行命令：

  sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port=5050 protocol=tcp accept'  # 替换为你的IP
  sudo firewall-cmd --permanent --add-port=5050/tcp
  sudo firewall-cmd --reload
  

• 使用ufw（可选）：若系统安装了ufw，可执行：
  sudo ufw allow from 192.168.1.100 to any port 5050 & & sudo ufw enable。

3. 启用SSL加密传输

• 生成SSL证书与私钥：使用OpenSSL生成自签名证书（生产环境建议使用CA颁发的有效证书），确保证书有效期足够长（如10年）。执行命令：
  sudo openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout /etc/pgadmin4/server.key -out /etc/pgadmin4/server.crt
• 配置pgAdmin使用SSL：编辑pgAdmin本地配置文件（/usr/lib/python3.6/site-packages/pgadmin4-web/config_local.py，路径因Python版本可能不同），添加证书路径：
  SSL_CERTFILE = '/etc/pgadmin4/server.crt'
SSL_KEYFILE = '/etc/pgadmin4/server.key'
• 设置文件权限：确保证书与私钥仅pgAdmin用户可访问，避免敏感信息泄露：
  sudo chown root:pgadmin /etc/pgadmin4/server.key /etc/pgadmin4/server.crt
sudo chmod 640 /etc/pgadmin4/server.key /etc/pgadmin4/server.crt
• 重启pgAdmin服务：使配置生效：
  sudo systemctl restart pgadmin4
• 验证SSL连接：通过浏览器访问https://< 服务器IP> :5051（默认端口为5051，若修改过需替换），确认地址栏显示锁图标（表示HTTPS加密连接成功）。

4. 配置访问控制

• PostgreSQL层面：编辑pg_hba.conf文件（通常位于/etc/postgresql/< 版本> /main/），限制允许连接到数据库的用户和IP地址。例如，仅允许本地用户通过密码认证连接，远程客户端需使用SSL：

  host    all             all             127.0.0.1/32            md5
  hostssl all             all             192.168.1.0/24          md5  # 仅允许192.168.1.0/24网段通过SSL连接
  

  修改后重启PostgreSQL服务：sudo systemctl restart postgresql
• pgAdmin用户权限：在pgAdmin Web界面中，为用户分配最小必要权限（如“只读”或“读写”），避免过度授权。禁用默认的admin账户或修改其密码，防止未授权访问。

5. 定期更新与补丁管理

• 更新系统与软件：定期更新CentOS系统、PostgreSQL数据库和pgAdmin到最新稳定版本，修复已知安全漏洞。执行命令：
  sudo yum update -y
  注意：pgAdmin需通过EPEL仓库安装，更新时需同步更新仓库信息。
• 关注安全公告：订阅pgAdmin官方安全公告（如GitHub Releases页面），及时应用安全补丁，应对新出现的安全威胁。

6. 启用审计日志记录

• 配置pgAdmin日志：编辑pgAdmin配置文件（/usr/lib/python3.6/site-packages/pgadmin4-web/config_local.py），开启详细日志记录，保留足够长时间（建议≥1年，满足PCI DSS要求）。示例如下：
  LOG_LEVEL = 'DEBUG'
LOG_FILE = '/var/log/pgadmin/audit.log'
LOG_ROTATION_SIZE = 10 # 单个日志文件最大10MB
  LOG_ROTATION_AGE = 7 # 日志保留7天后轮转
• 监控日志：定期检查/var/log/pgadmin/audit.log文件，关注异常登录（如多次失败登录）、未授权操作（如删除数据库）等行为。可结合fail2ban工具自动封禁频繁失败的IP地址。

7. 限制不必要的服务与功能

• 禁用PostgreSQL不必要服务：编辑PostgreSQL配置文件（postgresql.conf，通常位于/etc/postgresql/< 版本> /main/），关闭未使用的功能，减少攻击面。示例如下：
  wal_level = replica # 仅保留必要的WAL级别
  max_replication_slots = 0 # 禁用复制槽
• 关闭pgAdmin不必要插件：在pgAdmin Web界面中，禁用不常用的插件或扩展（如第三方工具集成），避免潜在的安全风险。

8. 其他安全措施

• 使用HTTPS反向隧道：通过Nginx或Apache等Web服务器托管pgAdmin，配置SSL证书（如Let’s Encrypt免费证书），强制使用HTTPS协议访问。隐藏默认端口（5050），增加攻击难度。示例如下（Nginx配置）：

  server {
      
      listen 443 ssl;
      
      server_name pgadmin.example.com;
      
      ssl_certificate /etc/letsencrypt/live/pgadmin.example.com/fullchain.pem;
      
      ssl_certificate_key /etc/letsencrypt/live/pgadmin.example.com/privkey.pem;
  
      location / {
      
          proxy_pass http://localhost:5050;
      
          proxy_set_header Host $host;
      
          proxy_set_header X-Real-IP $remote_addr;
  
      }
  
  }
      
  

  重启Nginx服务：sudo systemctl restart nginx
• 数据备份：定期备份pgAdmin配置文件（如/etc/pgadmin4/）和PostgreSQL数据库，将备份文件存储在安全位置（如异地服务器、云存储）。测试备份文件的恢复流程，确保在安全事件（如数据泄露、系统崩溃）发生时能够快速恢复。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！