Создание баз данных пользователей на узлах

Развернуть всё | Свернуть всё

Для работы компонентов службы идентификации пользователей вам нужно настроить параметры подключения к базам данных PostgreSQL на основном и резервном узлах и вручную создать базы данных для хранения информации о пользователях и группах LDAP-пользователей с помощью PostgreSQL версии 15. Более подробную информацию о работе с базами данных вы можете получить на официальном сайте PostgreSQL.

Чтобы настроить подключение к базам данных PostgreSQL:

1. Подключитесь к основному узлу.
2. Установите PostgreSQL:

   sudo apt install postgresql -y

3. Остановите PostgreSQL для внесения изменений в конфигурацию:

   sudo systemctl disable postgresql

   sudo systemctl stop postgresql

4. Перейдите в директорию /etc/postgresql/15/main, откройте файл pg_hba.conf и добавьте в секции replication следующие строки:

   host replication all <IP-адрес основного узла> trust

   host replication all <IP-адрес резервного узла> trust

5. В директории /etc/postgresql/15/main откройте файл postgresql.conf и измените значение параметра wal_level, затем измените значение параметра max_locks_per_transaction и закомментируйте строку unix_socket_directories следующим образом:

   wal_level = replica

   max_locks_per_transaction = 128

   #unix_socket_directories

6. Перейдите в директорию /etc/parsec, откройте файл mswitch.conf и измените значение параметра zero_if_notfound на yes для подключения к базам данных.
7. Переключитесь на резервный узел и повторите все шаги, описанные выше, для настройки PostgreSQL.

Параметры подключения к базам данных PostgreSQL настроены. Перейдите к созданию баз данных для компонентов службы идентификации пользователей.

Чтобы создать базы данных для информации о пользователях:

1. Подключитесь к основному узлу и запустите PostgreSQL:

   sudo systemctl start postgresql

2. Подключитесь к консоли PostgreSQL:

   sudo -u postgres psql

3. Проверьте значение параметра max_locks_per_transact:

   SHOW max_locks_per_transaction;

   Должно отобразиться значение 128.

4. Создайте пользователя uaws для использования компонентами службы идентификации пользователей:

   CREATE USER uaws WITH PASSWORD '<пароль>';

5. Создайте базу данных пользователей для компонента MapApp.

   Команды для создания базы данных компонента MapApp

   CREATE DATABASE usermap;

   ALTER DATABASE usermap OWNER TO uaws;

   \c usermap;

   CREATE SEQUENCE public.changeseq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.changeseq OWNER TO uaws;

   CREATE TABLE public.log_events (

   id bigint NOT NULL,

   username character varying(255) NOT NULL,

   domain character varying(255) NOT NULL,

   ipaddress character varying(15) NOT NULL,

   addtime timestamp without time zone NOT NULL,

   updatetime timestamp without time zone,

   expirytime timestamp without time zone,

   status character varying(16) NOT NULL,

   receivedtime timestamp without time zone,

   changeseq bigint NOT NULL

   )

   WITH (fillfactor='90', autovacuum_vacuum_scale_factor='0.005', autovacuum_vacuum_threshold='1000', autovacuum_analyze_scale_factor='0.005', autovacuum_analyze_threshold='1000', autovacuum_vacuum_cost_limit='8000', autovacuum_vacuum_cost_delay='1');

   ALTER TABLE public.log_events OWNER TO uaws;

   CREATE SEQUENCE public.log_events_changeseq_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.log_events_changeseq_seq OWNER TO uaws;

   ALTER SEQUENCE public.log_events_changeseq_seq OWNED BY public.log_events.changeseq;

   CREATE SEQUENCE public.log_events_id_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.log_events_id_seq OWNER TO uaws;

   ALTER SEQUENCE public.log_events_id_seq OWNED BY public.log_events.id;

   ALTER TABLE ONLY public.log_events ALTER COLUMN id SET DEFAULT nextval('public.log_events_id_seq'::regclass);

   ALTER TABLE ONLY public.log_events ALTER COLUMN changeseq SET DEFAULT nextval('public.log_events_changeseq_seq'::regclass);

   ALTER TABLE ONLY public.log_events

   ADD CONSTRAINT log_events_pkey PRIMARY KEY (id);

   ALTER TABLE ONLY public.log_events

   ADD CONSTRAINT log_events_uq_user_domain_ip UNIQUE (username, domain, ipaddress) WITH (fillfactor='90');

   CREATE INDEX log_events_changeseq_idx ON public.log_events USING btree (changeseq);

   CREATE INDEX log_events_ip_upd_desc_idx ON public.log_events USING btree (ipaddress, updatetime DESC) WITH (fillfactor='90');

   CREATE INDEX log_events_ipaddress_idx ON public.log_events USING btree (ipaddress);

   CREATE INDEX log_events_receivedtime_idx ON public.log_events USING btree (receivedtime) WITH (fillfactor='90');

   CREATE INDEX log_events_status_idx ON public.log_events USING btree (status);

6. Создайте базу данных групп LDAP-пользователей для компонента GroupApp.

   Команды для создания базы данных компонента GroupApp

   CREATE DATABASE groupapp;

   ALTER DATABASE groupapp OWNER TO uaws;

   \c groupapp;

   CREATE SEQUENCE public.changeseq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.changeseq OWNER TO uaws;

   CREATE SEQUENCE public.groupchilds_id_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.groupchilds_id_seq OWNER TO uaws;

   CREATE TABLE public.groupchilds (

   id bigint DEFAULT nextval('public.groupchilds_id_seq'::regclass) NOT NULL,

   dn character varying(255) NOT NULL,

   whenchanged character varying(30),

   parentid bigint NOT NULL,

   domain character varying(255)

   );

   ALTER TABLE public.groupchilds OWNER TO uaws;

   CREATE TABLE public.groups (

   id bigint NOT NULL,

   name character varying(255) NOT NULL,

   dn character varying(255),

   status character varying(15) NOT NULL,

   lastrequesttime timestamp without time zone NOT NULL,

   updatedtime timestamp without time zone,

   createdtime timestamp without time zone,

   deletedtime timestamp without time zone,

   whenchanged character varying(30),

   domain character varying(255)

   )

   WITH (autovacuum_vacuum_threshold='1000', autovacuum_freeze_min_age='10000000', autovacuum_enabled='true', autovacuum_vacuum_scale_factor='0.02', autovacuum_analyze_scale_factor='0.01');

   ALTER TABLE public.groups OWNER TO uaws;

   CREATE SEQUENCE public.groups_id_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.groups_id_seq OWNER TO uaws;

   ALTER SEQUENCE public.groups_id_seq OWNED BY public.groups.id;

   CREATE TABLE public.users (

   id bigint NOT NULL,

   username character varying(255) NOT NULL,

   samaccountname character varying(255) NOT NULL,

   groupid bigint,

   status character varying(15) NOT NULL,

   updatedtime timestamp without time zone,

   createdtime timestamp without time zone,

   deletedtime timestamp without time zone,

   changeseq bigint DEFAULT nextval('public.changeseq'::regclass) NOT NULL,

   domain character varying(255),

   whenchanged character varying(30)

   )

   WITH (autovacuum_freeze_min_age='10000000', autovacuum_enabled='true', autovacuum_vacuum_scale_factor='0.01', autovacuum_analyze_scale_factor='0.005', autovacuum_vacuum_threshold='5000', autovacuum_analyze_threshold='5000', autovacuum_vacuum_cost_limit='2000');

   ALTER TABLE public.users OWNER TO uaws;

   CREATE SEQUENCE public.users_id_seq

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.users_id_seq OWNER TO uaws;

   ALTER SEQUENCE public.users_id_seq OWNED BY public.users.id;

   ALTER TABLE ONLY public.groups ALTER COLUMN id SET DEFAULT nextval('public.groups_id_seq'::regclass);

   ALTER TABLE ONLY public.users ALTER COLUMN id SET DEFAULT nextval('public.users_id_seq'::regclass);

   ALTER TABLE ONLY public.groupchilds

   ADD CONSTRAINT groupchilds_pkey PRIMARY KEY (id);

   ALTER TABLE ONLY public.groups

   ADD CONSTRAINT groups_pkey PRIMARY KEY (id);

   ALTER TABLE ONLY public.users

   ADD CONSTRAINT gr_us_sam_unique UNIQUE (groupid, username, samaccountname);

   ALTER TABLE ONLY public.users

   ADD CONSTRAINT users_pkey PRIMARY KEY (id);

   CREATE UNIQUE INDEX groupchilds_dn_parent ON public.groupchilds USING btree (dn, parentid);

   CREATE INDEX idx_groups_name ON public.groups USING btree (name);

   CREATE INDEX idx_users_deletedtime_deleted ON public.users USING btree (deletedtime) WHERE ((status)::text = 'deleted'::text);

   CREATE INDEX idx_users_group_change_status ON public.users USING btree (groupid, changeseq DESC, status) INCLUDE (samaccountname, status);

   CREATE INDEX users_actual_changeseq_desc ON public.users USING btree (changeseq DESC) INCLUDE (groupid, samaccountname) WHERE ((status)::text = 'actual'::text);

   CREATE INDEX users_actual_changeseq_group_idx ON public.users USING btree (changeseq DESC, groupid) INCLUDE (samaccountname) WHERE ((status)::text = 'actual'::text);

   CREATE INDEX users_actual_gid_changeseq_desc ON public.users USING btree (groupid, changeseq DESC) INCLUDE (samaccountname) WHERE ((status)::text = 'actual'::text);

   CREATE INDEX users_domain_whenchanged_desc ON public.users USING btree (domain, whenchanged DESC);

   CREATE INDEX CONCURRENTLY users_changeseq_groupid_idx ON public.users (changeseq, groupid) INCLUDE (samaccountname, status);

7. Создайте пользователя replicator для репликации баз данных между узлами:

   CREATE ROLE replicator WITH REPLICATION LOGIN PASSWORD <пароль>;

8. Завершите работу с PostgreSQL на основном узле:

   \q

9. Переключитесь на резервный узел.
10. Продублируйте базы данных, созданные на основном узле, на резервный узел:

    sudo rm -rf /var/lib/pgsql/tmp/PGSQL.lock

    sudo -u postgres sh -c "rm -rf /var/lib/postgresql/*/main/*"

    sudo -u postgres pg_basebackup -h <IP-адрес основного узла> -D /var/lib/postgresql/15/main -P

11. Переключитесь на основной узел и остановите PostgreSQL:

    sudo systemctl stop postgresql

Базы данных подготовлены и могут быть использованы компонентами службы идентификации пользователей.

Для дополнительной защиты мы рекомендуем запретить удаленное подключения пользователю postgres и разрешить подключаться пользователю uaws с выбранных ip-адресов.

Чтобы обеспечить дополнительную защиту:

1. Откройте файл pg_hba.conf.
2. Укажите следующие значения и параметры, если вы используете SSL-протокол для подключения:
   1. Запретите удаленное подключение для пользователя postgres:

      hostssl all postgres 0.0.0.0/0 reject

   2. Разрешите удаленное подключение для пользователя uaws с IP-адресов и подсети, из которой подключаются компоненты службы идентификации пользователей:

      hostssl all uaws <IP-адрес/подсеть> scram-sha-256

3. Укажите следующие значения и параметры, если вы используете SSL-протокол для подключения:
   1. Запретите удаленное SSL-подключение для пользователя postgres:

      host all postgres 0.0.0.0/0 reject

   2. Разрешите удаленное SSL-подключение для пользователя uaws с IP-адресов и подсети, из которой подключаются компоненты службы идентификации пользователей:

      host all uaws <IP-адрес/подсеть> scram-sha-256

4. Откройте файл postgresql.conf.
5. Укажите параметры SSL-сертификатов:

   ssl = on

   ssl_ca_file = '/etc/ssl/certs/ca.pem'

   ssl_cert_file = '/etc/ssl/certs/postgres.pem'

   ssl_key_file = '/etc/ssl/private/postgres.key'

Дополнительная защита будет установлена.