8.3.16. Настройка SSL для PostgreSQL

При установке и удалении сертификата выполняется перезапуск инстанса.

Шифрование TLS/SSL используется для защиты передаваемых данных между клиентом и сервером. С помощью данной инструкции можно настроить шифрование с использованием собственного SSL-сертификата с проверкой на соответствие адреса хоста.

Для выполнения команд используйте консоль на вашем устройстве. В результате будут сформированы файлы сертификатов и ключей. Файлы серверного сертификата устанавливаются на хостинге, файлы клиентского сертификата используются при настройке клиента, сертификат CA используется для проверки подлинности серверного и клиентского сертификатов.

Создайте сертификат CA (Certificate Authority), который будет использоваться для подписания и проверки серверного и клиентского сертификатов:

openssl req -new -x509 -newkey rsa:4096 -nodes -sha256 -days 3650 \
  -keyout ca-key.pem \
  -out ca-cert.pem \
  -subj "/CN=PostgreSQL_CA" \
  -addext "basicConstraints=critical,CA:true,pathlen:0" \
  -addext "keyUsage=critical,keyCertSign,cRLSign"

Создайте серверный сертификат (в командах вместо example.psql.tools используйте адрес хоста вашего инстанса):

Создайте ключ и CSR:

openssl req -new -newkey rsa:2048 -nodes -sha256 \
  -keyout server-key.pem \
  -out server-req.pem \
  -subj "/CN=example.psql.tools"

Подпишите сертификат:

openssl x509 -req -sha256 -days 365 \
  -in server-req.pem \
  -CA ca-cert.pem \
  -CAkey ca-key.pem \
  -CAcreateserial \
  -out server-cert.pem \
  -extfile <(printf "basicConstraints=critical,CA:FALSE\nkeyUsage=critical,digitalSignature,keyEncipherment\nextendedKeyUsage=serverAuth\nsubjectAltName=DNS:example.psql.tools")

Создайте клиентский сертификат:

Создайте ключ и CSR:

openssl req -new -newkey rsa:2048 -nodes -sha256 \
  -keyout client-key.pem \
  -out client-req.pem \
  -subj "/CN=postgresql-client"

Подпишите сертификат:

openssl x509 -req -sha256 -days 365 \
  -in client-req.pem \
  -CA ca-cert.pem \
  -CAkey ca-key.pem \
  -CAserial ca-cert.srl \
  -out client-cert.pem \
  -extfile <(printf "basicConstraints=critical,CA:FALSE\nkeyUsage=critical,digitalSignature,keyEncipherment\nextendedKeyUsage=clientAuth")

Установите серверный сертификат, его ключ и сертификат CA в разделе «PostgreSQL» на вкладке «Настройки → SSL» (поле с паролем приватного ключа оставьте пустым, если не указывали его при создании сертификата):
Проверьте адрес хоста в установленном сертификате (в команде используйте ваши данные для подключения: example.psql.tools — хост, 12345 — порт):
```
openssl s_client -connect example.psql.tools:12345 -starttls postgres -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -ext subjectAltName
```
Без установленного сертификата вывод выглядит так:
```
subject -issuer -ext subjectAltName
subject=CN = adm.tools
issuer=CN = adm.tools
No extensions in certificate
```
После установки сертификата в выводе будет адрес хоста вашего инстанса:
```
subject=CN = example.psql.tools
issuer=CN = example.psql.tools
X509v3 Subject Alternative Name:
    DNS:example.psql.tools
```
Подключитесь к инстансу с использованием клиентского сертификата и убедитесь, что соединение зашифровано (в команде используйте ваши данные для подключения: example.psql.tools — хост, 12345 — порт, db1 — база данных, user1 — пользователь):
```
psql "host=example.psql.tools port=12345 dbname=db1 user=user1 sslmode=verify-full sslrootcert=ca-cert.pem sslcert=client-cert.pem sslkey=client-key.pem"
```
Выполните SQL-запрос:
```
SELECT ssl, version, cipher, bits, client_dn FROM pg_stat_ssl WHERE pid = pg_backend_pid();
```
Если всё настроено верно, подключение проходит успешно и вывод выглядит так:
```
 ssl | version |         cipher         | bits |       client_dn
-----+---------+------------------------+------+-----------------------
 t   | TLSv1.3 | TLS_AES_256_GCM_SHA384 |  256 | /CN=postgresql-client
```

8.3.16. Настройка SSL для PostgreSQL

Содержание