Utilisation de SCRAM pour le chiffrement de mot de passe PostgreSQL

Pour obtenir la liste des utilisateurs de base de données (rôles) et des méthodes de chiffrement des mots de passe

1. Utilisez psql pour vous connecter à l'instance principale de votre cluster de bases de données Aurora PostgreSQL , comme suit.

   psql --host=cluster-name-instance-1.111122223333.aws-region.rds.amazonaws.com --port=5432 --username=postgres --password

2. Installez l'extension rds_tools.

   postgres=> CREATE EXTENSION rds_tools;
   CREATE EXTENSION

3. Obtenez la liste des rôles et des méthodes de chiffrement.

   postgres=> SELECT * FROM 
         rds_tools.role_password_encryption_type();

   Vous voyez des résultats similaires à ce qui suit.

          rolname        | encryption_type
   ----------------------+-----------------
    pg_monitor           |
    pg_read_all_settings |
    pg_read_all_stats    |
    pg_stat_scan_tables  |
    pg_signal_backend    |
    lab_tester           | md5
    user_465             | md5
    postgres             | md5
   (8 rows)
   

Pour créer un groupe de paramètres de cluster de bases de données personnalisé

1. Utilisez la commande CLI create-db-cluster-parameter-group pour créer le groupe de paramètres personnalisé pour le cluster. L'exemple suivant utilise aurora-postgresql13 comme source pour ce groupe de paramètres personnalisé.

   Dans Linux, macOS, ou Unix:

   aws rds create-db-cluster-parameter-group --db-cluster-parameter-group-name 'docs-lab-scram-passwords' \
     --db-parameter-group-family aurora-postgresql13  --description 'Custom DB cluster parameter group for SCRAM'
   

   Dans Windows:

   aws rds create-db-cluster-parameter-group --db-cluster-parameter-group-name "docs-lab-scram-passwords" ^
     --db-parameter-group-family aurora-postgresql13  --description "Custom DB cluster parameter group for SCRAM"
   

   Ensuite, vous pouvez associer le groupe de paramètres personnalisé à votre cluster.

2. Utilisez la commande CLI modify-db-cluster pour appliquer ce groupe de paramètres personnalisé à votre cluster de bases de données Aurora PostgreSQL.

   Dans Linux, macOS, ou Unix:

   aws rds modify-db-cluster --db-cluster-identifier 'your-instance-name' \
           --db-cluster-parameter-group-name "docs-lab-scram-passwords

   Dans Windows:

   aws rds modify-db-cluster --db-cluster-identifier "your-instance-name" ^
           --db-cluster-parameter-group-name "docs-lab-scram-passwords

   Pour resynchroniser votre cluster de bases de données Aurora PostgreSQL avec votre groupe de paramètres de cluster de bases de données personnalisé, redémarrez l'instance principale et toutes les autres instances du cluster.

Pour remplacer le paramètre de chiffrement des mots de passe par scram-sha-256

• Remplacez la valeur du chiffrement des mots de passe par scram-sha-256, comme indiqué ci-après. Cette modification peut être appliquée immédiatement, car le paramètre est dynamique. Aucun redémarrage n'est donc nécessaire pour que la modification soit appliquée.

  Dans Linux, macOS, ou Unix:

  aws rds modify-db-cluster-parameter-group --db-cluster-parameter-group-name \
    'docs-lab-scram-passwords' --parameters 'ParameterName=password_encryption,ParameterValue=scram-sha-256,ApplyMethod=immediate'

  Dans Windows:

  aws rds modify-db-parameter-group --db-parameter-group-name ^
    "docs-lab-scram-passwords" --parameters "ParameterName=password_encryption,ParameterValue=scram-sha-256,ApplyMethod=immediate"

Pour migrer les mots de passe des utilisateurs (rôles) de base de données MD5 vers SCRAM

1. Connectez-vous en tant qu'utilisateur administrateur (nom d'utilisateur par défaut, postgres) comme suit.

   psql --host=cluster-name-instance-1.111122223333.aws-region.rds.amazonaws.com --port=5432 --username=postgres --password

2. Vérifiez la valeur du paramètre password_encryption sur votre instance de base de données RDS for PostgreSQL à l'aide de la commande suivante.

   postgres=> SHOW password_encryption;
    password_encryption
   ---------------------
    md5
    (1 row)
   

3. Remplacez la valeur de ce paramètre par scram-sha-256. Il s'agit d'un paramètre dynamique. Vous n'avez donc pas besoin de redémarrer l'instance après cette modification. Vérifiez à nouveau la valeur pour vous assurer qu'elle est maintenant réglée sur scram-sha-256, comme suit.

   postgres=> SHOW password_encryption;
    password_encryption
   ---------------------
    scram-sha-256
    (1 row)

4. Demandez à tous les utilisateurs de base de données de modifier leurs mots de passe. Veillez également à modifier votre propre mot de passe pour le compte postgres (utilisateur de base de données avec privilèges rds_superuser).

   labdb=> ALTER ROLE postgres WITH LOGIN PASSWORD 'change_me';
   ALTER ROLE

5. Répétez l'opération pour toutes les bases de données de votre cluster de bases de données Aurora PostgreSQL.

Pour modifier la valeur du paramètre afin d'exiger l'authentification SCRAM pour les mots de passe

1. Vérifiez que tous les mots de passe utilisateur de toutes les bases de données de votre cluster de bases de données Aurora PostgreSQL utilisent scram-sha-256 pour le chiffrement des mots de passe. Pour ce faire, interrogez rds_tools pour obtenir le rôle (utilisateur) et le type de chiffrement, comme suit.

   postgres=> SELECT * FROM rds_tools.role_password_encryption_type();
     rolname        | encryption_type
     ----------------------+-----------------
     pg_monitor           |
     pg_read_all_settings |
     pg_read_all_stats    |
     pg_stat_scan_tables  |
     pg_signal_backend    |
     lab_tester           | scram-sha-256
     user_465             | scram-sha-256
     postgres             | scram-sha-256
     ( rows)

2. Répétez la requête sur toutes les instances de base de données de votre cluster de bases de données Aurora PostgreSQL.

   Si tous les mots de passe utilisent scram-sha-256, vous pouvez continuer.

3. Remplacez la valeur de l'authentification par mot de passe acceptée par scram-sha-256, comme suit.

   Dans Linux, macOS, ou Unix:

   aws rds modify-db-cluster-parameter-group --db-cluster-parameter-group-name 'docs-lab-scram-passwords' \
     --parameters 'ParameterName=rds.accepted_password_auth_method,ParameterValue=scram,ApplyMethod=immediate'

   Dans Windows:

   aws rds modify-db-cluster-parameter-group --db-cluster-parameter-group-name "docs-lab-scram-passwords" ^
     --parameters "ParameterName=rds.accepted_password_auth_method,ParameterValue=scram,ApplyMethod=immediate"