Utilizzo delle crittografia password SCRAM per PostgreSQL

Per ottenere un elenco di utenti del database (ruoli) e metodi di crittografia password

1. Utilizza psql per connetterti all'istanza database RDS per PostgreSQL, come mostrato di seguito.

   psql --host=db-name.111122223333.aws-region.rds.amazonaws.com --port=5432 --username=postgres --password

2. Installa l'estensione rds_tools.

   postgres=> CREATE EXTENSION rds_tools;
   CREATE EXTENSION

3. Ottieni un elenco di ruoli e crittografia.

   postgres=> SELECT * FROM 
         rds_tools.role_password_encryption_type();

   L'output visualizzato è simile al seguente.

          rolname        | encryption_type
   ----------------------+-----------------
    pg_monitor           |
    pg_read_all_settings |
    pg_read_all_stats    |
    pg_stat_scan_tables  |
    pg_signal_backend    |
    lab_tester           | md5
    user_465             | md5
    postgres             | md5
   (8 rows)
   

Creare un gruppo di parametri database personalizzato

1. Utilizza il comando CLI create-db-parameter-group per creare il gruppo di parametri database personalizzato. Questo esempio utilizza postgres13 come l'origine per questo gruppo di parametri personalizzati.

   In Linux, macOS, oppure Unix:

   aws rds create-db-parameter-group --db-parameter-group-name 'docs-lab-scram-passwords' \
     --db-parameter-group-family postgres13  --description 'Custom parameter group for SCRAM'
   

   In Windows:

   aws rds create-db-parameter-group --db-parameter-group-name "docs-lab-scram-passwords" ^
     --db-parameter-group-family postgres13  --description "Custom DB parameter group for SCRAM"
   

2. Utilizza il comando CLI modify-db-instance per applicare questo gruppo di parametri personalizzati al cluster database RDS per PostgreSQL.

   In Linux, macOS, oppure Unix:

   aws rds modify-db-instance --db-instance-identifier 'your-instance-name' \
           --db-parameter-group-name "docs-lab-scram-passwords

   In Windows:

   aws rds modify-db-instance --db-instance-identifier "your-instance-name" ^
           --db-parameter-group-name "docs-lab-scram-passwords

   Per ripetere la sincronizzazione dell'istanza database RDS per PostgreSQL con il gruppo di parametri DB personalizzato, è necessario riavviare l'istanza principale e tutte le altre istanze del cluster. Per ridurre al minimo l'impatto sugli utenti, pianifica questa operazione in modo che si verifichi durante la normale finestra di manutenzione.

Per modificare l'impostazione di crittografia password in scram-sha-256

• Modifica il valore della crittografia password in scram-sha-256, come mostrato di seguito. La modifica può essere applicata immediatamente perché il parametro è dinamico, quindi non è necessario un riavvio per rendere effettiva la modifica.

  In Linux, macOS, oppure Unix:

  aws rds modify-db-parameter-group --db-parameter-group-name \
    'docs-lab-scram-passwords' --parameters 'ParameterName=password_encryption,ParameterValue=scram-sha-256,ApplyMethod=immediate'

  In Windows:

  aws rds modify-db-parameter-group --db-parameter-group-name ^
    "docs-lab-scram-passwords" --parameters "ParameterName=password_encryption,ParameterValue=scram-sha-256,ApplyMethod=immediate"

Per migrare le password degli utenti (ruoli) del database da a SCRAM MD5

1. Accedi come utente amministratore (nome utente predefinito, postgres) come mostrato di seguito.

   psql --host=db-name.111122223333.aws-region.rds.amazonaws.com --port=5432 --username=postgres --password

2. Controlla l'impostazione del parametro password_encryption sull'istanza database RDS per PostgreSQL utilizzando il comando seguente.

   postgres=> SHOW password_encryption;
    password_encryption
   ---------------------
    md5
    (1 row)
   

3. Modifica il valore di questo parametro in scram-sha-256. Si tratta di un parametro dinamico, quindi non è necessario riavviare l'istanza dopo aver apportato questa modifica. Controlla nuovamente il valore per essere certo che ora sia impostato su scram-sha-256, come descritto di seguito.

   postgres=> SHOW password_encryption;
    password_encryption
   ---------------------
    scram-sha-256
    (1 row)

4. Invia una notifica a tutti gli utenti del database con la richiesta di modificare le password. Assicurati di modificare anche la password per l'account postgres (l'utente del database con privilegi rds_superuser).

   labdb=> ALTER ROLE postgres WITH LOGIN PASSWORD 'change_me';
   ALTER ROLE

5. Ripeti il processo per tutti i database sul l'istanza database RDS per PostgreSQL.

Modificare il valore del parametro per richiedere l'autenticazione SCRAM per le password

1. Verifica che tutte le password degli utenti del database per tutti i database sull'istanza database di RDS per PostgreSQL utilizzino scram-sha-256 per la crittografia password. A questo proposito, esegui la query su rds_tools per il ruolo (utente) e il tipo di crittografia, come segue.

   postgres=> SELECT * FROM rds_tools.role_password_encryption_type();
     rolname        | encryption_type
     ----------------------+-----------------
     pg_monitor           |
     pg_read_all_settings |
     pg_read_all_stats    |
     pg_stat_scan_tables  |
     pg_signal_backend    |
     lab_tester           | scram-sha-256
     user_465             | scram-sha-256
     postgres             | scram-sha-256
     ( rows)

2. Ripeti la query su tutte le istanze database nel l'istanza database RDS per PostgreSQL.

   Se tutte le password utilizzano scram-sha-256, puoi procedere.

3. Modifica il valore dell'autenticazione password accettata in scram-sha-256, come riportato di seguito.

   In Linux, macOS, oppure Unix:

   aws rds modify-db-parameter-group --db-parameter-group-name 'docs-lab-scram-passwords' \
     --parameters 'ParameterName=rds.accepted_password_auth_method,ParameterValue=scram,ApplyMethod=immediate'

   In Windows:

   aws rds modify-db-parameter-group --db-parameter-group-name "docs-lab-scram-passwords" ^
     --parameters "ParameterName=rds.accepted_password_auth_method,ParameterValue=scram,ApplyMethod=immediate"