4.5. 在 PostgreSQL 服务器中配置 TLS 加密

先决条件

• 已安装 PostgreSQL 服务器。
• 初始化数据库集群。
• 如果服务器运行 RHEL 9.2 或更高版本，并且启用了 FIPS 模式，则客户端必须支持扩展 Master Secret (EMS)扩展或使用 TLS 1.3。没有 EMS 的 TLS 1.2 连接会失败。如需更多信息，请参阅红帽知识库解决方案 在 RHEL 9.2 及更高版本上强制执行 TLS 扩展 "Extended Master Secret"。

验证

• 手动验证连接是否已加密：

  1. 以 mydbuser 用户身份连接到 PostgreSQL 数据库，指定主机名和数据库名称：

     $ psql -U mydbuser -h 127.0.0.1 -d mydatabase
     Password for user mydbuser:

     将 mydatabase 替换为数据库名称，并将 mydbuser 替换为用户名。

  2. 获取有关当前数据库连接的信息：

     mydbuser=> \conninfo
     You are connected to database "mydatabase" as user "mydbuser" on host "127.0.0.1" at port "5432".
     SSL connection (protocol: TLSv1.3, cipher: TLS_AES_256_GCM_SHA384, bits: 256, compression: off)

• 您可以编写一个简单的应用程序，验证与 PostgreSQL 的连接是否已加密。本例演示了使用 C 编写的那些使用 libpq 客户端库（由 libpq-devel 软件包提供）的应用程序：

  #include <stdio.h>
  #include <stdlib.h>
  #include <libpq-fe.h>
  
  int main(int argc, char* argv[])
  {
  //Create connection
  PGconn* connection = PQconnectdb("hostaddr=127.0.0.1 password=mypassword port=5432 dbname=mydatabase user=mydbuser");
  
  if (PQstatus(connection) ==CONNECTION_BAD)
      {
      printf("Connection error\n");
      PQfinish(connection);
      return -1; //Execution of the program will stop here
      }
      printf("Connection ok\n");
      //Verify TLS
      if (PQsslInUse(connection)){
       printf("TLS in use\n");
       printf("%s\n", PQsslAttribute(connection,"protocol"));
      }
      //End connection
      PQfinish(connection);
      printf("Disconnected\n");
      return 0;
  }

  将 mypassword 替换为密码，将 mydatabase 替换为数据库名称，并将 mydbuser 替换为用户名。

  注意

  您必须使用 -lpq 选项为编译加载 pq 库。例如，使用 GCC 编译器编译应用程序：

  $ gcc source_file.c -lpq -o myapplication

  其中 source_file.c 包含上面的示例代码，myapplication 是应用程序的名称，用于验证安全的 PostgreSQL 连接。