18.3. 連接和認證 · PostgreSQL 中文文檔 9.3

# 18.3\. 連接和認證 ## 18.3.1\. 連接設置 `listen_addresses` (`string`) 聲明服務器監聽客戶端連接的TCP/IP地址。值是一個逗號分隔的主機名和/或數字IP地址。特殊項`*`對應所有可用IP接口。 `0.0.0.0`允許監聽所有IPV4地址，并且`::`允許監聽所有IPV6地址。如果這個列表是空的，那么服務器不會監聽任何IP接口，這種情況下，只有Unix域套接字可以用于連接數據庫。缺省值localhost只允許進行本地"回環"連接。客戶端認證([Chapter 19](#calibre_link-14))允許細粒度控制誰能訪問服務器， `listen_addresses`控制嘗試連接哪個接口。這個參數只能在服務器啟動的時候設置。 `port` (`integer`) 服務器監聽的TCP端口；缺省是5432。請注意同一個端口號用于服務器監聽的所有IP地址。這個參數只能在服務器啟動的時候設置。 `max_connections` (`integer`) 允許和數據庫連接的最大并發連接數。缺省通常是100，但是如果內核設置不支持這么大(在initdb的時候判斷)，可能會比這個數少。這個參數只能在服務器啟動的時候設置。當運行一個備用服務器，你必須將此參數設置為比主服務器上相同的或更高的值。否則，不允許在備用服務器上進行查詢。 `superuser_reserved_connections` (`integer`) 決定為PostgreSQL超級用戶連接而保留的連接"槽位"。一次最多可以同時激活[max_connections](#calibre_link-441)個連接。在活躍的并發連數接到了`max_connections` 減去`superuser_reserved_connections`的時候，新的連接就只能由超級用戶發起了，并且不接收新的復制連接。缺省值是3。這個值必須小于`max_connections`的值。這個參數只能在服務器啟動的時候設置。 `unix_socket_directories` (`string`) 指定Unix域套接字（S）的目錄，并且服務器監聽來自客戶端應用程序的連接。多個套接字可以通過列出多個用逗號分隔的目錄創建。忽略條目之間的空白; 如果你需要包含空格或逗號的名字，增加帶有雙引號的目錄名。空值指定不監聽任何Unix域的套接字，在這種情況下，只有TCP/IP套接字可以用于連接到服務器。默認值通常是`/tmp`，但可以在編譯的時候改變。這個參數只能在服務器啟動的。除套接字文件本身外，它被命名為 `.s.PGSQL.``_nnnn_`，其中 `_nnnn_`是服務器的端口號，普通文件命名的`.s.PGSQL.``_nnnn_`.lock 將在每個`unix_socket_directories`目錄中創建。永遠都不應該手動刪除這兩個文件。這個參數在Windows上是無關緊要的，它不具有Unix域套接字。 `unix_socket_group` (`string`) 設置Unix域套接字的所屬組(套接字的所屬用戶總是啟動服務器的用戶)。可以與選項`unix_socket_permissions`一起用于對套接字進行訪問控制。缺省是一個空字符串，表示當前服務器用戶的缺省組。這個選項只能在服務器啟動的時候設置。這個參數在Windows上是無關緊要的，它不具有Unix域套接字。 `unix_socket_permissions` (`integer`) 設置Unix域套接字的訪問權限。Unix域套接字使用普通的Unix文件系統權限集。這個參數值應該是數值的形式，也就是系統調用`chmod`和`umask` 接受的形式。如果使用自定義的八進制格式，數字必須以`0`開頭。缺省的權限是`0777`，意思是任何人都可以連接。合理的候選是`0770` (只有用戶和同組的人可以訪問，又見`unix_socket_group`)和`0700`(只有用戶自己可以訪問)。請注意，對于Unix域套接字，只有寫權限有意義，因此在設置和撤銷讀和執行權限中沒有任何意義。這個訪問控制機制與[Chapter 19](#calibre_link-14)里描述的用戶認證毫無關系。這個參數只能在服務器啟動的時候設置。這個參數在Windows上是無關緊要的，它不具有Unix域套接字。 `bonjour` (`boolean`) 通過Bonjour啟動廣播服務器的存在。缺省是關閉的。這個值只能在服務器啟動的時候設置。 `bonjour_name` (`string`) 聲明Bonjour服務器名稱。空字符串`''`(缺省值)表示使用計算機名。如果編譯時沒有打開Bonjour支持那么將忽略這個參數。這個值只能在服務器啟動的時候設置。 `tcp_keepalives_idle` (`integer`) 聲明發送保持活躍信號的間隔秒數，不發送保持活躍信號，連接就會處于閑置狀態。零使用系統默認值。該參數僅在支持 `TCP_KEEPIDLE`或者`TCP_KEEPALIVE`符號以及 Windows的系統上出現;在其它系統中，它必須是零。在通過Unix域套接字連接的會話中，這個參數被忽略，并且總是讀為零。 > **Note:** 在Windows中，0值將這個參數設置為2小時，因為Windows不提供讀取系統默認值的方法。 `tcp_keepalives_interval` (`integer`) 聲明發送保持活躍信號的間隔秒數，不發送保持活躍信號，連接就會處于閑置狀態。零使用系統默認值。在那些支持`TCP_KEEPINTVL`符號以及Windows的系統上支持這些參數。在其他系統上，這個參數必須為零。在通過Unix域套接字連接的會話中，這個參數被忽略，并且總是讀為零。 > **Note:** 在Windows中，0值將這個參數設置為1秒，因為Windows不提供讀取系統默認值的方法。 `tcp_keepalives_count` (`integer`) 聲明發送保持活躍信號的數量，不發送保持活躍信號，連接就會處于閑置狀態。零使用系統默認值。在那些支持`TCP_KEEPCNT`的系統上支持這些參數。在其他系統上，這個參數必須為零。在通過Unix域套接字連接的會話中，這個選項被忽略，并且總是讀為零。 > **Note:** 在Windows上不支持這個參數，并且總是為零。 ## 18.3.2\. 安全和認證 `authentication_timeout` (`integer`) 完成客戶端認證的最長時間，以秒計。如果一個客戶端沒有在這段時間里完成認證協議，服務器將中斷連接。這樣就避免了出問題的客戶端無限制地占據連接資源。缺省是60秒(`1m`)。這個選項只能在命令行上或者在`postgresql.conf`里設置。 `ssl` (`boolean`) 啟用SSL連接。請在使用這個選項之前閱讀[Section 17.9](#calibre_link-657)。缺省是`off`。這個選項只能在服務器啟動的時候設置。SSL通訊與TCP/IP 連接是唯一可能的。 `ssl_ca_file` (`string`) 指定包含SSL服務器證書頒發機構（CA）的文件名稱。默認值為空，意味著沒有CA文件被加載，并且不進行客戶端證書驗證。（在以前的PostgreSQL版本中，此文件的名稱是作為`root.crt`的硬編碼。）相對路徑是相對于數據目錄。這個參數只能在服務器啟動進行設置。 `ssl_cert_file` (`string`) 指定包含SSL服務器證書的文件名稱。默認值是`server.crt`。相對路徑是相對于數據目錄。這個參數只能在服務器啟動時進行設置。 `ssl_crl_file` (`string`) 指定包含SSL服務器證書撤銷列表(CRL)的文件名稱。默認值為空，意味著沒有CRL文件被加載。（在PostgreSQL的早期版本中，該文件的名稱為`root.crl`的硬編碼。）相對路徑是相對于數據目錄。這個參數只能在服務器啟動時候進行設置。 `ssl_key_file` (`string`) 指定包含SSL服務器私鑰的文件名稱。默認值是`server.key`。相對路徑是相對于數據目錄。這個參數只能在服務器啟動時設置。 `ssl_renegotiation_limit` (`integer`) 在會話密鑰發生重新商議之前，指定多少數據可以進行SSL-加密。當大量流量被檢查的時候，但它也會產生大量性能損失，重新談判降低攻擊者密碼分析的機會。總的發送和接收的流量用于檢查極限。如果該參數被設置為0，禁用重新談判。默認值是`512MB`。 > **Note:** 當使用SSL時再商議時候，2009年11月之前的SSL庫是不安全的，由于SSL協議的一個漏洞。作為這個漏洞修復，一些廠商出貨的SSL庫不能重新談判。如果在客戶端或服務器上使用任何庫，應禁用SSL重新協商。 `ssl_ciphers` (`string`) 指定SSL密碼列表，在安全連接上允許使用。參閱openssl手冊頁支持的密碼列表。 `password_encryption` (`boolean`) 在[CREATE USER](#calibre_link-15)或者[ALTER ROLE](#calibre_link-17)里聲明了一個口令，而又沒有寫`ENCRYPTED`或者`UNENCRYPTED`的時候，這個選項決定口令是否要加密。缺省是`on`(加密口令)。 `krb_server_keyfile` (`string`) 設置Kerberos服務器鍵字文件的位置。參閱[Section 19.3.5](#calibre_link-504)或者[Section 19.3.3](#calibre_link-505)獲取細節。這個參數只能在`postgresql.conf`文件或者服務器命令行中設置。 `krb_srvname` (`string`) 設置Kerberos服務名。參閱[Section 19.3.5](#calibre_link-504)獲取細節。這個參數只能在`postgresql.conf`文件或者服務器命令行中設置。 `krb_caseins_users` (`boolean`) 設置Kerberos和GSSAPI用戶名是否大小寫無關。缺省是`off`(大小寫相關)。這個參數只能在`postgresql.conf`文件或者服務器命令行中設置。 `db_user_namespace` (`boolean`) 這個參數啟動每個數據庫的用戶名。缺省是關閉的。這個參數只能在命令行上或者在`postgresql.conf`里設置。如果打開這個選項，你應該像`username@dbname`這樣創建用戶。在給一個正在連接的客戶端傳遞`username`的時候，必須給用戶名附加`@`和數據庫名字，然后服務器查找該數據庫相關的用戶名字。請注意，如果你在SQL環境里創建包含`@`的名字時，你需要用引號包圍用戶名。打開這個選項之后，你還是能夠創建普通的全局用戶。只要在客戶端聲明用戶的時候附加一個`@`即可。比如`joe@`。在服務器查找這個用戶名之前，這個`@`會被剝除。 `db_user_namespace`導致客戶端和服務器端的用戶名表示不同。驗證檢查總是與該服務器的用戶名一起進行，所以驗證方法必須配置為服務器的用戶名，而不是客戶端的。因為 `md5`在客戶端和服務器上使用用戶名， `md5`不能與`db_user_namespace`一起使用。 > **Note:** 這個特性只是臨時措施，直到找到一個完全的解決方案。那個時候，這個選項將被刪除。