Vous n'êtes pas identifié(e).
- Contributions : Récentes | Sans réponse
Pages : 1
#1 Re : Général » shell script d'administration-backup: Authentification » 07/10/2008 15:59:18
je voulais dire, sur une machine de production,
dans vos scripts shell sous crontab :
- sous quels profils les scripts sont-ils exécutés?
- comment sont-ils authentifiés ? (j'ai compris que Guillaume utilise et recommande [.pgpass])
- quelqu'un a-t-il utilisé ident_map ? cela permet bien de ne pas avoir à gérer user+password ?
Philippe
#2 Re : Général » shell script d'administration-backup: Authentification » 07/10/2008 15:43:29
Deux points d'entrée.
Un fichier qui peut être lu par l'utilisateur est donc vulnérable aux attaques
qui se produiraient sous ce profil, sans que l'attaquent ait besoin d'être root.
Donc dans le cas de [.pgpass], sous quel profil vos scripts sont-ils exécutés ?
#3 Re : Général » shell script d'administration-backup: Authentification » 07/10/2008 15:31:30
Ooops ! Je voulais commencer par un bonjour à tous ! :-!
Bonjour !
#4 Général » shell script d'administration-backup: Authentification » 07/10/2008 15:19:12
- Eko
- Réponses : 7
J'ai lu http://docs.postgresqlfr.org/8.3/auth-methods.html
Je cherche une solution à un problème générique:
Dans des shell scripts d'administration Pgsql,
nombreux divers et variés (sauvegardes, restauration diverses)
s'exécutant en batch, (crontab ou autre)
comment s'autentifier simplement en étant le plus sécurisé possible?
Actuellement je vois plusieurs méthodes simples à mettre en oeuvre que je comprends:
0. Utiliser le profil postgres ?
1. Pour user+passwd
1.1. Utiliser les variables de shell PGUSER et PGPASSWORD (exportées ou pas ?)
1.2. Mettre le mot de passe en clair dans le script pour chaque commande (comme pg_dump)
1.3. Mettre le mot de passe en clair dans un fichier lu en stdin par chaque commande
2. Ident-map
ecrire dans pg_ident.conf la map :
Exemple 21.2. Un fichier d'exemple pg_ident.conf
# CORRESPONDANCE NOMUTILISATEUR-IDENT NOMUTILISATEUR-PG
omicron bryanh bryanh
omicron ann ann
# bob a le nom d'utilisateur robert sur ces machines
omicron robert bob
# bryanh peut aussi se connecter en tant que guest1
omicron bryanh guest1
Dans le cas d'une Ident-map, il n'y a pas besoin de mot de passe
lors de l'exécution d'un script sous un profil mappé ?
Qui a utilisé cela ?
3. utiliser un fichier .pgpass par profil
http://docs.postgresqlfr.org/8.3/libpq-pgpass.html
Ca me semble peu sécurisé de disperser le mot de passe ainsi.
Qu'utilisez-vous dans vos crontab et autres job d'exploitation
Merci par avance pour vos commentaires !
Eko
Pages : 1