EDB Postgres Enterprise Manager®

PEMエージェントで使用するためのpgBouncerの設定

バージョン7.8

 

2019年6月5日

 

1 はじめに

この文書では、Windows以外のマシンでPEMエージェントからPostgres Enterprise Manager（PEM）サーバーへの接続数を制限するためのpgBouncerを接続プールとして使用する方法について詳しく説明します。

•	PEMデータベースサーバの準備 - 第 3 章では、pgBouncerで使用するためのPEMデータベースサーバの準備について説明します。

•	pgBouncerの設定 - 第 4 章では、pgBouncerをPEMデータベースサーバと連携するように設定する方法について詳しく説明します。

•	PEMエージェントの設定 - 第 5 章では、pgBouncerに接続するためのPEMエージェントの設定に関する詳細情報を提供します。

PEM 7 Webインターフェイスの使用方法の詳細については、 『PEM Getting Started Guide』を参照してください。

この文書では PostgreSQLまたはAdvanced Serverデータベースを意味するためにPostgres という用語を使用します。

1.1 このガイドで使用されている表記規則

このマニュアルでは、さまざまなコマンド、ステートメント、プログラム、例などの意味と使用方法を明確にするために、特定の表記規則を使用しています。この節では、これらの規則の概要を説明します。

以下の説明では、 用語は、言語キーワード、ユーザー指定の値、リテラルなどの任意の単語または単語のグループを指します。用語の正確な意味は、それが使用される文脈によって異なります。

•	イタリック体のフォント は、通常は初めて定義する文章の中に新しい用語を導入します。

•	Fixed-width (mono-spaced) font は、 SQL コマンド、例で使用されている特定のテーブル名および列名、プログラミング言語のキーワード など、文字通りに指定する必要がある用語に使用され ます 。例えば、 SELECT * FROM emp;

•	Italic fixed-width font は、ユーザーが実際の使用法で値を置き換える必要がある用語に使用されます。例えば、 DELETE FROM table_name ;

•	垂直パイプパイプの両側の用語間の選択を示します。垂直パイプは、角括弧（オプションの選択肢）または中括弧（1つの必須の選択肢）で2つ以上の代替用語を区切るために使用されます。

•	角括弧[]は、囲まれた用語の1つまたはすべてを置換できることを示します。たとえば、 [ a | b ] 、「 a 」または「 b 」のいずれかを選択するか、または両方を選択しないことを意味します。

•	中括弧{}は、囲まれた選択肢のうち1つだけを指定する必要があることを示します。たとえば、 { a | b }正確に一つ「の意味a 」又は「 b 」を指定しなければなりません。

•	省略記号...は、前の用語が繰り返される可能性があることを示します。たとえば、 [ a | b ] ...は、シーケンス「 baaba 」があるかもしれないことを意味します。

2 PEMサーバ - PEMエージェント接続管理メカニズム

各PEMエージェントは、各ユーザーのSSL証明書を使用してPEMデータベースサーバーに接続します。たとえば、 IDが1の エージェントは 、 agent1ユーザーを使用してPEMデータベースサーバーに接続します。

図2.1 - pgBouncerなしでPEMデータベースに接続する

PEMバージョン7.5より前では、次の制限により、PEMサーバとPEMエージェント間で接続プールを使用できませんでした。

•	PEMエージェントはSSL証明書を使用してPEMデータベースサーバに接続します。

•	PEMデータベースサーバに接続するときに、個々のユーザIDを使用します。

EnterpriseDBは、PEMデータベースサーバへの接続にエージェントが（専用のエージェントユーザではなく）共通のデータベースユーザを使用できるようにPEMエージェントを変更しました。

図2.2 - pgBouncerへの接続

接続プールとしてバージョン1.9.0以降のpgBouncerバージョンを使用することをお勧めします。バージョン1.9.0以降では cert認証をサポートしています。 PEMエージェントはSSL証明書を使ってpgBouncerに接続できます。

3 PEMデータベースサーバの準備

pgBouncerと連携するようにPEMデータベースサーバを設定する必要があります。次の例は、PEMデータベースサーバの設定に必要な手順を示しています。

1。	PEMデータベースサーバにpgbouncerという専用ユーザを作成します。例えば：

pem =＃CREATE USER pgbouncer PASSWORD 'ANY_PASSWORD' LOGIN;
ロールの作成

2。	PEMデータベースサーバで、 pem _ adminおよびpem _ agent _ poolロールメンバシップを持つpem _ admin1 という名前のユーザ （スーパーユーザ以外）を作成します。例えば：

pem =＃CREATE USER pem_admin1 PASSWORD 'ANY_PASSWORD' LOGIN CREATEROLE;
ロールの作成
pem =＃GRANT pem_admin、pem_agent_pool TO pem_admin1。
GRANT ROLE

3。	付与 PEMデータベース上pgbouncer・ユーザーにCONNECT権限を。例えば：

pem =＃データベースへの接続の許可pgbouncerへのpem;スキーマへの使用の許可pgbouncerへのpem。
付与

4。	付与 PEMデータベース上のPEMスキーマのpgbouncerユーザーにUSAGE権限を。例えば：

pem =＃スキーマへの使用許可pempgbouncer;
付与

5。	グラントは、 PEMのpgbouncerユーザーにEXECUTE特権。 pemデータベースの_ agent _ pool _ auth （ テキスト ）関数を取得します。例えば：

pem =＃機能の実行権限付与pem.get_agent_pool_auth（text）pgbouncerへ。
付与

6。	ペムを 使ってください 。 PEMデータベースサーバにpem_agent_user1という名前のユーザを作成するcreate _ proxy _ agent _ user （ varchar ）関数。例えば：

pem =＃SELECT pem.create_proxy_agent_user（ 'pem_agent_user1'）;

create_proxy_agent_user
-------------------------
（1列）

この関数は、ランダムなパスワードを使用して同じ名前のユーザーを作成し、許可するユーザーにPEM _ エージェントとPEM _ _ エージェント プールの役割を。これにより、pgBouncerはエージェントに代わってプロキシユーザを使用することができます。

7。	PEMデータベースサーバのpg_hba.confファイルの先頭に次のエントリを追加します。これにより、pgBouncerユーザはmd5認証方法を使ってpemデータベースに接続することができます。例えば：

＃PEMエージェントのプロキシユーザーを許可します。
＃pgbouncer）を使用してPEMサーバに接続します。
＃md5

ローカルpem pgbouncer、pem_admin1 md5

4 pgBouncerを設定する

PEMデータベースサーバと連携するようにpgBouncerを設定する必要があります。この例では、enterprisedbシステムユーザーとしてpgBouncerを実行します。以下のステップはpgBouncer（version> = 1.9）を設定するプロセスの概要を説明します。

1。	端末ウィンドウを開き、pgBouncerディレクトリに移動します。

2。	（ここで、pgBouncerためのetcディレクトリの所有者を変更し pgbouncer。INI存在）はEnterpriseDBは 、および0700にディレクトリのパーミッションを変更します。例えば：

$ chown enterprisedb：enterprisedb /etc/edb/pgbouncer1.9
$ chmod 0700 /etc/edb/pgbouncer1.9

3。	pgbouncer の内容を変更して ください 。 iniまたはedb - pgbouncer 。次のようにiniファイル：

[データベース]
;;許可されている最大接続数に従ってpool_sizeを変更します。
;;必要に応じてPEMデータベースサーバにアクセスします。
;; 'auth_user'はdbユーザーを認証するために使用されます（プロキシ
;;私たちの場合はエージェントユーザー）

pem = port = 5444 host = / tmp dbname = pem auth_user = pgbouncer pool_size = 80 pool_mode = transaction
* = port = 5444 host = / tmp dbname = pem auth_user = pgbouncer pool_size = 10

[pgbouncer]
logfile = /var/log/edb/pgbouncer1.9/edb-pgbouncer-1.9.log
pidfile = /var/run/edb/pgbouncer1.9/edb-pgbouncer-1.9.pid
listen_addr = *
;;エージェントはpemデータベースに接続するためにこのポートを使用する必要があります
listen_port = 6432
;; SSL証明書認証をサポートする必要がある
;; PEMエージェント用
client_tls_sslmode = require
;;これらは存在するroot.crt、server.key、server.crtファイルです。
;;現在のPEMデータベースのデータディレクトリの下に
;; PEMエージェントが接続に使用するサーバー。
client_tls_ca_file = /var/lib/edb/as11/data/root.crt
client_tls_key_file = /var/lib/edb/as11/data/server.key
client_tls_cert_file = /var/lib/edb/as11/data/server.crt
;;クライアント接続にhbaファイルを使用する
auth_type = hba
;;認証ファイル、参照：
;; https://pgbouncer.github.io/config.html#auth_file
auth_file = /etc/edb/pgbouncer1.9/userlist.txt
;; HBAファイル
auth_hba_file = /etc/edb/pgbouncer1.9/hba_file
;;認証にはpem.get_agent_pool_auth（TEXT）関数を使用してください。
;; dbユーザー（プロキシエージェントユーザーとして使用）
auth_query = SELECT * FROM pem.get_agent_pool_auth（$ 1）
;; pgbouncerを管理するためのDBユーザー
admin_users = pem_admin1
;; pgbouncerの統計収集用DBユーザー
stats_users = pem_admin1
server_reset_query = DISCARD ALL
;;インストールされている/必要なエージェントの数に基づいて変更する
max_client_conn = 500
;;この時点で使用されていない場合は、サーバー接続を閉じます。
;;ピーク後にプールから不要な接続を削除できます。
server_idle_timeout = 60

4。	次のコマンドを使用して、 pgBouncer用の/etc/edb/pgbouncer1.9/userlist.txt認証ファイルを作成および更新します。

pem =＃COPY（
SELECT 'pgbouncer' :: TEXT、 'pgbouncer_password'
UNION ALL
SELECT 'pem_admin1' :: TEXT、 'pem_admin1_password'
）/etc/edb/pgbouncer1.9/userlist.txtへ
WITH（FORMAT CSV、DELIMITER ''、FORCE_QUOTE *）;

コピー2

メモ：スーパーユーザーは、PEM認証クエリー関数 pem.get_proxy_auth（text）を 呼び出すことはできません 。 pem _ adminユーザーがスーパーユーザーの場合は、認証ファイルにパスワードを追加する必要があります。これは上記の例ではenterprisedbです。

5。	以下の内容を含むpgBouncer用のHBAファイル（ /etc/edb/pgbouncer1.9/hba_file ）を作成します 。

＃ローカル接続に認証方法md5を使用する
＃pemデータベースとpgbouncer（仮想）データベースを接続します。
ローカルpgbouncerすべてmd5

＃リモート接続に認証方法md5を使う
＃enterprisedbを使用してpgbouncer（仮想データベース）に接続します。
＃ユーザー

ホストpgbouncer、pem pem_admin1 0.0.0.0/0 md5

＃TCP / IP接続に認証方法certを使用する
＃pem_agent_user1を使用してpemデータベースに接続します。

hostssl pem pem_agent_user1 0.0.0.0/0 cert

6。	HBAファイルの所有者（ /etc/edb/pgbouncer1.9/hba_file ）をenterprisedbに変更し、ディレクトリのアクセス権を0600に変更します。例えば：

$ chown enterprisedb：enterprisedb /etc/edb/pgbouncer1.9/hba_file
$ chmod 0600 /etc/edb/pgbouncer1.9/hba_file

7。	pgBouncerサービスを有効にして、サービスを開始してください。例えば：

$ systemctl enable edb-pgbouncer-1.9

/etc/systemd/system/multi-user.target.wants/edb-pgbouncer-1.9.serviceから/usr/lib/systemd/system/edb-pgbouncer-1.9.serviceへのシンボリックリンクを作成しました。

$ systemctl start edb-pgbouncer-1.9

5 PEMエージェントの設定

RPMパッケージを使用してPEMエージェントをインストールできます。詳細なインストール情報については 、EntepriseDB Webサイトから入手可能な『PEMインストールガイド』 を参照してください 。

https://www.enterprisedb.com/resources/product-documentation

5.1 新しいPEMエージェントの設定（RPMを使用してインストール）

RPMパッケージを使用してPEMエージェントをインストールしたら、特定のPEMデータベースサーバに対して機能するように設定する必要があります。次のコマンドを使用してください。

$ PGSSLMODE =必須PEM_SERVER_PASSWORD = pem_admin1_password / usr / edb / pem / agent / bin / pemworker --register-agent --pem-server 172.16.254.22 --pem-port 6432 --pem-user pem_admin1 --pem-agent- user pem_agent_user1 --display-name "エージェント名"

Postgres Enterprise Managerエージェントは正常に登録されました。

上記のコマンドで、コマンドライン引数 --pem-agent-userは、 / root / .pemディレクトリにpem_agent_user1データベースユーザー用のSSL証明書とキーペアを作成するようにエージェントに指示します。例えば：

/root/.pem/pem_agent_user1.crt

/root/.pem/pem_agent_user1.key

これらは、PEMエージェントが pem_agent_user1 としてPEMデータベースサーバに接続するために使用されます 。 /usr/edb/pem/agent/etc/agent.cfgも作成されます 。

あなたは、エージェント・ユーザーに言及ラインがで使用することがあります エージェント 。 cfg設定ファイル例えば：

$ cat /usr/edb/pem/agent/etc/agent.cfg
[PEM /エージェント]
pem_host = 172.16.254.22
pem_port = 6432
agent_id = 12
agent_user = pem_agent_user1
agent_ssl_key = / root / .pem / pem_agent_user1.key
agent_ssl_crt = / root / .pem / pem_agent_user1.crt
log_level = warning
log_location = / var / log / pem / worker.log
agent_log_location = / var / log / pem / agent.log
long_wait = 30
short_wait = 10
alert_threads = 0
enable_smtp = false
enable_snmp = false
allow_server_restart = true
allow_package_management = false
allow_streaming_replication = false
max_connections = 0
connect_timeout = -1
connection_lifetime = 0
allow_batch_probes = false
heartbeat_connection = false

5.2 既存のPEMエージェントの設定（RPMを使用してインストール）

既存のPEMエージェントを使用している場合は、SSL証明書とキーファイルをターゲットマシンにコピーして、それらのファイルを再利用できます。ファイルを変更し、新しいパラメータを追加し、既存のagent.cfgファイルのいくつかのパラメータを置き換える必要があります。

エージェントに使用するagent_userの行を追加します。例えば：

agent_user = pem_agent_user1

ポートを更新してpgBouncerポートを指定します。例えば：

pem_port = 6432

証明書とキーパスの場所を更新します。例えば：

agent_ssl_key = / root / .pem / pem_agent_user1.key
agent_ssl_crt = / root / .pem / pem_agent_user1.crt

注意：代わりに、エージェントの自己登録を実行することもできますが、それにより新しいエージェントIDが作成されます。エージェントの自己登録を実行する場合は、新しいエージェントIDを既存のIDに置き換えて、 pem で新しいエージェントIDのエントリを無効にする必要があります 。 エージェントテーブル例えば：

pem =＃UPDATE pem.agent SET active = false WHERE id = < new _ agent _ id >;

アップデート1

既存のSSL証明書、キーファイル、およびエージェント設定ファイルのバックアップを保存してください。