Debian系统PostgreSQL安全如何保障

Debian 上保障 PostgreSQL 安全的可落地清单

一 系统与仓库安全基线与安装

• 保持系统与软件为最新：执行 sudo apt update & & sudo apt upgrade，及时获取安全补丁。
• 仅从受信任源安装：Debian 使用 GnuPG 签名与安全更新机制，优先选择官方镜像，降低篡改与漏洞风险。
• 安装数据库组件：建议安装 postgresql 与 postgresql-contrib，以获得更完整的安全与运维能力。

二 网络与访问控制

• 默认仅本地访问：保持 listen_addresses = ‘localhost’，除非确有远程需求再调整。
• 精细的客户端认证：在 pg_hba.conf 中优先采用基于主机的认证，并按“就近原则”限制来源网段与数据库对象。示例（仅示例，生产请收紧）：
  • 本地 Unix 域套接字：local all all peer（或 md5，视本地运维而定）
  • 本地回环：host all all 127.0.0.1/32 md5
  • 远程访问：按需仅放行业务网段，例如 host mydb myapp 192.168.1.0/24 md5，对未授权网段使用 reject 明确拒绝。
• 防火墙策略：如启用 UFW，仅允许受控来源访问 5432/tcp，避免对全网开放。
• 变更生效：修改配置后执行 sudo systemctl restart postgresql。

三 身份与权限最小化

• 设置强口令：为 postgres 及业务账号设置复杂口令，例如：
  • ALTER USER postgres WITH PASSWORD ‘StrongP@ssw0rd!’;
• 按业务创建最小权限账号与数据库：
  • CREATE USER app WITH PASSWORD ‘AppPass!23’;
  • CREATE DATABASE appdb OWNER app;
  • GRANT CONNECT, TEMPORARY ON DATABASE appdb TO app;
  • 按需授予模式/表级权限（SELECT/INSERT/UPDATE/DELETE），避免滥用 SUPERUSER。
• 不使用默认数据库与默认超级用户进行日常业务操作，遵循“最小权限原则”。

四 加密与审计

• 传输加密：启用 SSL/TLS 保护数据在途安全。
  • 生成自签名证书（测试/内网可用）：
    • mkdir -p /etc/postgresql/ssl
    • openssl req -new -x509 -days 365 -nodes -text -subj ‘/CN=postgres’ -out /etc/postgresql/ssl/server.crt -keyout /etc/postgresql/ssl/server.key
    • chmod 600 /etc/postgresql/ssl/server.key
  • 在 postgresql.conf 中启用：
    • ssl = on
    • ssl_cert_file = ‘/etc/postgresql/ssl/server.crt’
    • ssl_key_file = ‘/etc/postgresql/ssl/server.key’
• 审计与日志：开启关键日志以支撑合规与溯源。
  • 在 postgresql.conf 中启用：
    • log_statement = ‘all’
    • log_connections = on
    • log_disconnections = on
    • log_directory = ‘pg_log’
    • log_filename = ‘postgresql-%Y-%m-%d_%H%M%S.log’
• 备份与恢复：定期使用 pg_dump 做逻辑备份，并妥善保存与校验。
  • 备份：sudo -u postgres pg_dump mydb > mydb_$(date +%F).sql
  • 恢复：sudo -u postgres psql mydb < mydb_$(date +%F).sql

五 运行维护与加固清单

• 持续更新：订阅安全公告，及时 apt upgrade 修复漏洞。
• 定期备份与演练恢复：验证备份可用性与恢复时效，确保 RPO/RTO 达标。
• 日志轮转与留存：配置 logrotate 或等效机制，防止日志无限增长并满足保留周期。
• 连接与资源管控：结合业务设置合理的 max_connections 与内存参数，避免资源被滥用。
• 安全基线巡检：周期性核查关键配置（listen_addresses、pg_hba.conf 规则、SSL 启用状态、弱口令与过度授权）。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！