Создание баз данных пользователей на одном устройстве

Развернуть всё | Свернуть всё

Для работы компонентов службы идентификации пользователей вам нужно настроить параметры подключения к базам данных PostgreSQL и вручную создать базы данных для хранения информации о пользователях и группах LDAP-пользователей с помощью PostgreSQL. Более подробную информацию о работе с базами данных вы можете получить на официальном сайте PostgreSQL.

Чтобы настроить базы данных PostgreSQL:

1. Установите PostgreSQL:

   sudo apt install postgresql -y

2. Подключитесь к консоли PostgreSQL:

   sudo -u postgres psql

3. Получите путь к конфигурационному файлу PostgreSQL:

   SHOW config_file;

4. Запишите полученный результат.
5. Перейдите в директорию из полученного результата, откройте конфигурационный файл и измените значение параметра max_locks_per_transaction на 128.
6. Перейдите в директорию /etc/parsec, откройте файл mswitch.conf и измените значение параметра zero_if_notfound на yes для подключения к базам данных.
7. Перезапустите PostgreSQL:

   sudo systemctl restart postgresql

8. Подключитесь к консоли PostgreSQL:

   sudo -u postgres psql

9. Проверьте значение параметра max_locks_per_transact:

   SHOW max_locks_per_transaction;

   Должно отобразиться значение 128.

10. Создайте пользователя uaws для использования компонентами службы идентификации пользователей:

    CREATE USER uaws WITH PASSWORD '<пароль>';

11. Создайте базу данных пользователей для компонента MapApp.

    Команды для создания базы данных компонента MapApp

    CREATE DATABASE usermap;

    ALTER DATABASE usermap OWNER TO uaws;

    \c usermap;

    CREATE SEQUENCE public.changeseq

    as bigint

    START WITH 1

    INCREMENT BY 1

    NO MINVALUE

    NO MAXVALUE

    CACHE 1;

    ALTER TABLE public.changeseq OWNER TO uaws;

    CREATE TABLE public.log_events (

    id bigint NOT NULL,

    username character varying(255) NOT NULL,

    domain character varying(255) NOT NULL,

    ipaddress character varying(15) NOT NULL,

    addtime timestamp without time zone NOT NULL,

    updatetime timestamp without time zone,

    expirytime timestamp without time zone,

    status character varying(16) NOT NULL,

    receivedtime timestamp without time zone,

    changeseq bigint NOT NULL

    )

    WITH (fillfactor='90', autovacuum_vacuum_scale_factor='0.005', autovacuum_vacuum_threshold='1000', autovacuum_analyze_scale_factor='0.005', autovacuum_analyze_threshold='1000', autovacuum_vacuum_cost_limit='8000', autovacuum_vacuum_cost_delay='1');

    ALTER TABLE public.log_events OWNER TO uaws;

    CREATE SEQUENCE public.log_events_changeseq_seq

    as bigint

    START WITH 1

    INCREMENT BY 1

    NO MINVALUE

    NO MAXVALUE

    CACHE 1;

    ALTER TABLE public.log_events_changeseq_seq OWNER TO uaws;

    ALTER SEQUENCE public.log_events_changeseq_seq OWNED BY public.log_events.changeseq;

    CREATE SEQUENCE public.log_events_id_seq

    as bigint

    START WITH 1

    INCREMENT BY 1

    NO MINVALUE

    NO MAXVALUE

    CACHE 1;

    ALTER TABLE public.log_events_id_seq OWNER TO uaws;

    ALTER SEQUENCE public.log_events_id_seq OWNED BY public.log_events.id;

    ALTER TABLE ONLY public.log_events ALTER COLUMN id SET DEFAULT nextval('public.log_events_id_seq'::regclass);

    ALTER TABLE ONLY public.log_events ALTER COLUMN changeseq SET DEFAULT nextval('public.log_events_changeseq_seq'::regclass);

    ALTER TABLE ONLY public.log_events

    ADD CONSTRAINT log_events_pkey PRIMARY KEY (id);

    ALTER TABLE ONLY public.log_events

    ADD CONSTRAINT log_events_uq_user_domain_ip UNIQUE (username, domain, ipaddress) WITH (fillfactor='90');

    CREATE INDEX log_events_changeseq_idx ON public.log_events USING btree (changeseq);

    CREATE INDEX log_events_ip_upd_desc_idx ON public.log_events USING btree (ipaddress, updatetime DESC) WITH (fillfactor='90');

    CREATE INDEX log_events_ipaddress_idx ON public.log_events USING btree (ipaddress);

    CREATE INDEX log_events_receivedtime_idx ON public.log_events USING btree (receivedtime) WITH (fillfactor='90');

    CREATE INDEX log_events_status_idx ON public.log_events USING btree (status);

12. Создайте базу данных групп LDAP-пользователей для компонента GroupApp.

    Команды для создания базы данных компонента GroupApp

    CREATE DATABASE groupapp;

    ALTER DATABASE groupapp OWNER TO uaws;

    \c groupapp;

    CREATE SEQUENCE public.changeseq

    as bigint

    START WITH 1

    INCREMENT BY 1

    NO MINVALUE

    NO MAXVALUE

    CACHE 1;

    ALTER TABLE public.changeseq OWNER TO uaws;

    CREATE SEQUENCE public.groupchilds_id_seq

    as bigint

    START WITH 1

    INCREMENT BY 1

    NO MINVALUE

    NO MAXVALUE

    CACHE 1;

    ALTER TABLE public.groupchilds_id_seq OWNER TO uaws;

    CREATE TABLE public.groupchilds (

    id bigint DEFAULT nextval('public.groupchilds_id_seq'::regclass) NOT NULL,

    dn character varying(255) NOT NULL,

    whenchanged character varying(30),

    parentid bigint NOT NULL,

    domain character varying(255)

    );

    ALTER TABLE public.groupchilds OWNER TO uaws;

    CREATE TABLE public.groups (

    id bigint NOT NULL,

    name character varying(255) NOT NULL,

    dn character varying(255),

    status character varying(15) NOT NULL,

    lastrequesttime timestamp without time zone NOT NULL,

    updatedtime timestamp without time zone,

    createdtime timestamp without time zone,

    deletedtime timestamp without time zone,

    whenchanged character varying(30),

    domain character varying(255)

    )

    WITH (autovacuum_vacuum_threshold='1000', autovacuum_freeze_min_age='10000000', autovacuum_enabled='true', autovacuum_vacuum_scale_factor='0.02', autovacuum_analyze_scale_factor='0.01');

    ALTER TABLE public.groups OWNER TO uaws;

    CREATE SEQUENCE public.groups_id_seq

    as bigint

    START WITH 1

    INCREMENT BY 1

    NO MINVALUE

    NO MAXVALUE

    CACHE 1;

    ALTER TABLE public.groups_id_seq OWNER TO uaws;

    ALTER SEQUENCE public.groups_id_seq OWNED BY public.groups.id;

    CREATE TABLE public.users (

    id bigint NOT NULL,

    username character varying(255) NOT NULL,

    samaccountname character varying(255) NOT NULL,

    groupid bigint,

    status character varying(15) NOT NULL,

    updatedtime timestamp without time zone,

    createdtime timestamp without time zone,

    deletedtime timestamp without time zone,

    changeseq bigint DEFAULT nextval('public.changeseq'::regclass) NOT NULL,

    domain character varying(255),

    whenchanged character varying(30)

    )

    WITH (autovacuum_freeze_min_age='10000000', autovacuum_enabled='true', autovacuum_vacuum_scale_factor='0.01', autovacuum_analyze_scale_factor='0.005', autovacuum_vacuum_threshold='5000', autovacuum_analyze_threshold='5000', autovacuum_vacuum_cost_limit='2000');

    ALTER TABLE public.users OWNER TO uaws;

    CREATE SEQUENCE public.users_id_seq

    START WITH 1

    INCREMENT BY 1

    NO MINVALUE

    NO MAXVALUE

    CACHE 1;

    ALTER TABLE public.users_id_seq OWNER TO uaws;

    ALTER SEQUENCE public.users_id_seq OWNED BY public.users.id;

    ALTER TABLE ONLY public.groups ALTER COLUMN id SET DEFAULT nextval('public.groups_id_seq'::regclass);

    ALTER TABLE ONLY public.users ALTER COLUMN id SET DEFAULT nextval('public.users_id_seq'::regclass);

    ALTER TABLE ONLY public.groupchilds

    ADD CONSTRAINT groupchilds_pkey PRIMARY KEY (id);

    ALTER TABLE ONLY public.groups

    ADD CONSTRAINT groups_pkey PRIMARY KEY (id);

    ALTER TABLE ONLY public.users

    ADD CONSTRAINT gr_us_sam_unique UNIQUE (groupid, username, samaccountname);

    ALTER TABLE ONLY public.users

    ADD CONSTRAINT users_pkey PRIMARY KEY (id);

    CREATE UNIQUE INDEX groupchilds_dn_parent ON public.groupchilds USING btree (dn, parentid);

    CREATE INDEX idx_groups_name ON public.groups USING btree (name);

    CREATE INDEX idx_users_deletedtime_deleted ON public.users USING btree (deletedtime) WHERE ((status)::text = 'deleted'::text);

    CREATE INDEX idx_users_group_change_status ON public.users USING btree (groupid, changeseq DESC, status) INCLUDE (samaccountname, status);

    CREATE INDEX users_actual_changeseq_desc ON public.users USING btree (changeseq DESC) INCLUDE (groupid, samaccountname) WHERE ((status)::text = 'actual'::text);

    CREATE INDEX users_actual_changeseq_group_idx ON public.users USING btree (changeseq DESC, groupid) INCLUDE (samaccountname) WHERE ((status)::text = 'actual'::text);

    CREATE INDEX users_actual_gid_changeseq_desc ON public.users USING btree (groupid, changeseq DESC) INCLUDE (samaccountname) WHERE ((status)::text = 'actual'::text);

    CREATE INDEX users_domain_whenchanged_desc ON public.users USING btree (domain, whenchanged DESC);

    CREATE INDEX CONCURRENTLY users_changeseq_groupid_idx ON public.users (changeseq, groupid) INCLUDE (samaccountname, status);

13. Завершите работу с PostgreSQL:

    \q

Базы данных подготовлены и могут быть использованы компонентами службы идентификации пользователей.

Для дополнительной защиты мы рекомендуем запретить удаленное подключения пользователю postgres и разрешить подключаться пользователю uaws с выбранных ip-адресов.

Чтобы обеспечить дополнительную защиту:

1. Откройте файл pg_hba.conf.
2. Укажите следующие значения и параметры, если вы используете SSL-протокол для подключения:
   1. Запретите удаленное подключение для пользователя postgres:

      hostssl all postgres 0.0.0.0/0 reject

   2. Разрешите удаленное подключение для пользователя uaws с IP-адресов и подсети, из которой подключаются компоненты службы идентификации пользователей:

      hostssl all uaws <IP-адрес/подсеть> scram-sha-256

3. Укажите следующие значения и параметры, если вы используете SSL-протокол для подключения:
   1. Запретите удаленное SSL-подключение для пользователя postgres:

      host all postgres 0.0.0.0/0 reject

   2. Разрешите удаленное SSL-подключение для пользователя uaws с IP-адресов и подсети, из которой подключаются компоненты службы идентификации пользователей:

      host all uaws <IP-адрес/подсеть> scram-sha-256

4. Откройте файл postgresql.conf.
5. Укажите параметры SSL-сертификатов:

   ssl = on

   ssl_ca_file = '/etc/ssl/certs/ca.pem'

   ssl_cert_file = '/etc/ssl/certs/postgres.pem'

   ssl_key_file = '/etc/ssl/private/postgres.key'

Дополнительная защита будет установлена.