Мой вопрос

Могу ли я установить разрешения для пользователя (например, postgres) так, чтобы он мог подключаться только с TCP localhost, но не из Интернета?

Доверенные сокеты против паролей для удаленных подключений

Я понимаю, что можно инициализировать postgres так, чтобы локальные пользователи могли входить без пароля, а удаленные хосты с паролем:

initdb \
            -D "$POSTGRES_DATA_DIR/" \
            --username postgres --pwfile "$PWFILE" \
            --auth-local=trust --auth-host=password

Интранет против Интернета

Для любой системы, подключающейся через интернет, я хочу использовать пользователя с очень, очень сильной (не запоминаемой) случайной строкой длиной 128 бит.

Для локального и интранет-доступа, однако, я предпочел бы иметь имя пользователя и пароль, которые я могу запомнить (и ввести).

Могу ли я сделать это… или мне нужно просто создать по одному пользователю для каждой системы, которая может подключаться, с .pgpass на каждой?
(Я не хочу делиться ключами в виде простых текстовых файлов между компьютерами)

Обновление 2025

Я создал несколько скриптов для управления удаленными пользователями через группы hba:

• https://webinstall.dev/pg-essentials

Основная магия заключается в создании роли sameuser с именем remote_users (или как вам нравится)

CREATE ROLE "remote_users" NOLOGIN;

pg_hba.conf

hostssl sameuser         +remote_users        0.0.0.0/0               scram-sha-256
hostssl sameuser         +remote_users        ::0/0                   scram-sha-256

Затем любая база данных с пользователем с таким же именем в группе “remote_users” может подключаться:

CREATE DATABASE "my-user-prefix-1234";

CREATE ROLE "my-user-prefix-1234" LOGIN INHERIT IN ROLE "remote_users" ENCRYPTED PASSWORD 'supersecret';

GRANT ALL PRIVILEGES ON DATABASE "my-user-prefix-1234" to "my-user-prefix-1234";

Вы не предоставили информацию о вашей версии PostgreSQL, я предполагаю, что вы используете PostgreSQL 12.

Могу ли я установить разрешения для пользователя (например, postgres) так, чтобы он мог подключаться только с TCP localhost, но не из Интернета?

Да, используйте pg_hba.conf. Возможно, вам нужно будет сначала загрузить это через hba_file конфигурацию времени выполнения.

Для локального и интранет-доступа, однако, я предпочел бы иметь имя пользователя и пароль, которые я могу запомнить (и ввести).

Если вы хотите добавить локального пользователя, защищенного паролем, добавьте

local <database_name> <local-only_user_name> scram-sha-256 

в ваш pg_hba.conf.

Вам, вероятно, сначала нужно будет создать пользователя через CREATE ROLE:

CREATE ROLE username LOGIN ENCRYPTED PASSWORD 'insert-your-password-here';

Возможно, вы также захотите проверить записи host и hostssl, чтобы добавить в ваш pg_hba.conf для настройки вашей интранет- и интернет-авторизации.

Обратитесь к прикрепленным документам для получения дополнительной информации.