Utilizzo SCRAM per la crittografia delle password Postgree SQL

Per ottenere un elenco di utenti del database (ruoli) e metodi di crittografia password

1. Usa psql per connetterti all', la tua istanza database RDS per Postgre SQL, come illustrato di seguito.

   psql --host=db-name.111122223333.aws-region.rds.amazonaws.com --port=5432 --username=postgres --password

2. Installa l'estensione rds_tools.

   postgres=> CREATE EXTENSION rds_tools;
   CREATE EXTENSION

3. Ottieni un elenco di ruoli e crittografia.

   postgres=> SELECT * FROM 
         rds_tools.role_password_encryption_type();

   L'output visualizzato è simile al seguente.

          rolname        | encryption_type
   ----------------------+-----------------
    pg_monitor           |
    pg_read_all_settings |
    pg_read_all_stats    |
    pg_stat_scan_tables  |
    pg_signal_backend    |
    lab_tester           | md5
    user_465             | md5
    postgres             | md5
   (8 rows)
   

Creare un gruppo di parametri database personalizzato

1. Utilizzate il create-db-parameter-group CLI comando per creare il gruppo di parametri DB personalizzato. Questo esempio utilizza postgres13 come l'origine per questo gruppo di parametri personalizzati.

   In Linux, macOS, oppure Unix:

   aws rds create-db-parameter-group --db-parameter-group-name 'docs-lab-scram-passwords' \
     --db-parameter-group-family postgres13  --description 'Custom parameter group for SCRAM'
   

   In Windows:

   aws rds create-db-parameter-group --db-parameter-group-name "docs-lab-scram-passwords" ^
     --db-parameter-group-family postgres13  --description "Custom DB parameter group for SCRAM"
   

2. Usa il modify-db-instance CLI comando per applicare questo gruppo di parametri personalizzato al tuo cluster RDS for Postgre SQL DB.

   In Linux, macOS, oppure Unix:

   aws rds modify-db-instance --db-instance-identifier 'your-instance-name' \
           --db-parameter-group-name "docs-lab-scram-passwords

   In Windows:

   aws rds modify-db-instance --db-instance-identifier "your-instance-name" ^
           --db-parameter-group-name "docs-lab-scram-passwords

   Per risincronizzare l'istanza SQL DB RDS for Postgre con il gruppo di parametri DB personalizzato, è necessario riavviare l'istanza primaria e tutte le altre istanze del cluster. Per ridurre al minimo l'impatto sugli utenti, pianifica questa operazione in modo che si verifichi durante la normale finestra di manutenzione.

Per modificare l'impostazione di crittografia password in scram-sha-256

• Modifica il valore della crittografia password in scram-sha-256, come mostrato di seguito. La modifica può essere applicata immediatamente perché il parametro è dinamico, quindi non è necessario un riavvio per rendere effettiva la modifica.

  In Linux, macOS, oppure Unix:

  aws rds modify-db-parameter-group --db-parameter-group-name \
    'docs-lab-scram-passwords' --parameters 'ParameterName=password_encryption,ParameterValue=scram-sha-256,ApplyMethod=immediate'

  In Windows:

  aws rds modify-db-parameter-group --db-parameter-group-name ^
    "docs-lab-scram-passwords" --parameters "ParameterName=password_encryption,ParameterValue=scram-sha-256,ApplyMethod=immediate"

Per migrare le password degli utenti (ruoli) del database da a MD5 SCRAM

1. Accedi come utente amministratore (nome utente predefinito, postgres) come mostrato di seguito.

   psql --host=db-name.111122223333.aws-region.rds.amazonaws.com --port=5432 --username=postgres --password

2. Controlla l'impostazione del password_encryption parametro sulla tua istanza di RDS For Postgre SQL DB usando il seguente comando.

   postgres=> SHOW password_encryption;
    password_encryption
   ---------------------
    md5
    (1 row)
   

3. Modifica il valore di questo parametro in scram-sha-256. Si tratta di un parametro dinamico, quindi non è necessario riavviare l'istanza dopo aver apportato questa modifica. Controlla nuovamente il valore per essere certo che ora sia impostato su scram-sha-256, come descritto di seguito.

   postgres=> SHOW password_encryption;
    password_encryption
   ---------------------
    scram-sha-256
    (1 row)

4. Invia una notifica a tutti gli utenti del database con la richiesta di modificare le password. Assicurati di modificare anche la password per l'account postgres (l'utente del database con privilegi rds_superuser).

   labdb=> ALTER ROLE postgres WITH LOGIN PASSWORD 'change_me';
   ALTER ROLE

5. Ripeti il processo per tutti i database del tuo cluster DB. RDSper un'istanza DB di SQL Postgre.

Per modificare il valore del parametro in modo da richiedere SCRAM l'autenticazione per le password

1. Verifica che tutte le password utente del database per tutti i database del RDScluster utilizzate per la SQL crittografia delle password. scram-sha-256 A questo proposito, esegui la query su rds_tools per il ruolo (utente) e il tipo di crittografia, come segue.

   postgres=> SELECT * FROM rds_tools.role_password_encryption_type();
     rolname        | encryption_type
     ----------------------+-----------------
     pg_monitor           |
     pg_read_all_settings |
     pg_read_all_stats    |
     pg_stat_scan_tables  |
     pg_signal_backend    |
     lab_tester           | scram-sha-256
     user_465             | scram-sha-256
     postgres             | scram-sha-256
     ( rows)

2. Ripeti la query su tutte le istanze DB del cluster DB . RDSper l'istanza DB di Postgre. SQL

   Se tutte le password utilizzano scram-sha-256, puoi procedere.

3. Modifica il valore dell'autenticazione password accettata in scram-sha-256, come riportato di seguito.

   In Linux, macOS, oppure Unix:

   aws rds modify-db-parameter-group --db-parameter-group-name 'docs-lab-scram-passwords' \
     --parameters 'ParameterName=rds.accepted_password_auth_method,ParameterValue=scram,ApplyMethod=immediate'

   In Windows:

   aws rds modify-db-parameter-group --db-parameter-group-name "docs-lab-scram-passwords" ^
     --parameters "ParameterName=rds.accepted_password_auth_method,ParameterValue=scram,ApplyMethod=immediate"