フェールオーバーマネージャークラスターでのSSL認証の構成

次の手順は、フェールオーバーマネージャーのSSL認証を有効にします。すべての接続クライアントは、クラスター内のデータベースサーバーに接続するときにSSL認証を使用する必要があることに注意してください。現在、接続方法を変更する必要があります 既存のクライアントによって使用されます。

フェールオーバーマネージャークラスターでSSLを有効にするには、以下を行う必要があります。

  1. server.crtおよびserver.keyファイルをdataディレクトリに配置しdata （下に

    Advanced Serverのインストール）。当局によって署名された証明書を購入するか、独自の自己署名証明書を作成できます。自己署名証明書の作成については、次のPostgreSQLコアドキュメントを参照してください。

    https://www.postgresql.org/docs/10/static/ssl-tcp.html#ssl-certificate-creation

  2. フェールオーバー内の各データベースでpostgresql.confファイルを変更します

    SSLを有効にするマネージャークラスター：

    ssl=on

    postgresql.confファイルを変更した後、サーバーを再起動する必要があります。

  3. フェールオーバーマネージャーの各ノードでpg_hba.confファイルを変更します

    クラスター、ファイルの先頭に次の行を追加します。

    hostnossl all all all reject

    この行は、SSL認証を使用していない接続を拒否するようサーバーに指示します。これにより、接続しているクライアントにSSL認証が強制されます。 pg_hba.confファイルの変更については、次のPostgreSQLコアドキュメントを参照してください。

    https://www.postgresql.org/docs/10/static/auth-pg-hba-conf.html

  4. データにserver.crtおよびserver.keyファイルを配置した後

    ディレクトリ、証明書をJavaが理解できる形式に変換します。次のコマンドを使用できます。

    openssl x509 -in server.crt -out server.crt.der -outform der

    詳細については、次をご覧ください。

https://jdbc.postgresql.org/documentation/94/ssl-client.html

  1. 次に、証明書をJavaの信頼できる証明書ファイルに追加します。

    keytool -keystore $JAVA_HOME/lib/security/cacerts -alias <alias_name> -import -file server.crt.der

    どこで

    $JAVA_HOMEは、Javaインストールのホームディレクトリです。

    <alias_name>には任意の文字列を指定できますが、それぞれに対して一意である必要があります 証明書。

    keytoolコマンドを使用して、使用可能な証明書のリストを確認したり、特定の証明書に関する情報を取得したりできます。 keytoolコマンドの使用の詳細については、次を入力してください。

    man keytool

    各データベースサーバーからの証明書は、各エージェントの信頼できる証明書ファイルにインポートする必要があります。 cacertsファイルの場所は、システムごとに異なる場合があることに注意してください。詳細については、次をご覧ください。

https://jdbc.postgresql.org/documentation/94/ssl-client.html

  1. クラスター内の各ノードでefm.propertiesファイルを変更し、
    jdbc.sslmodeプロパティを設定します。