Конфигурационные параметры

Параметры парольных политик

В данном разделе более подробно описаны параметры механизма парольных политик.

Параметр	Описание	Тип	POSIX шаблон	Значение по умолчанию	Аналог в `pg_pp_policy`
`password_policy.policy_enable`	Включение/выключение парольной политики	boolean	`on`/`off`	`on`	`policyenable`
`password_policy.deny_default`	Включение/выключение использования настроек из `postgresql.conf`	boolean	`on`/`off`	`off`	-
`password_policy.psql_encrypt_password`	Засекречивание пароля при передаче от клиента к БД	boolean	`on`/`off`	-	-
`password_policy.deduplicate_ssl_no_ssl_fail_auth_attempts`	Включение механизма исключения повторных попыток подключения psql	boolean	`on`/`off`	`on`	-
`password_policy.allow_hashed_password`	Разрешить задание пароля в виде хеша	boolean	`on`/`off`	`off`	-

Настройка хранения паролей

Параметр	Описание	Тип	POSIX шаблон	Ограничение значения	Значение по умолчанию	Специальные значения параметров	Аналог в `pg_pp_policy`
`password_policy.reuse_time`	Время в секундах, в течение которого старый пароль сохраняется, и попытка сменить пароль на совпадающий со старым заканчивается ошибкой	string	`\d+ s`	неотрицательное	`365 days`	-	`reusetime`
`password_policy.in_history`	Максимальное количество сохраненных старых паролей	integer	[0-1000]	0-1000	`4`	`0` – Проверка на совпадение пароля с ранее использованным не проводится (при условии `reuse_time` = `0`)	`inhistory`

Сведения

Если задан параметр password_policy.reuse_time, то параметр password_policy.in_history не используется.

Время жизни пароля

Параметр	Описание	Тип	POSIX шаблон	Ограничение значения	Значение по умолчанию	Специальные значения параметров	Аналог в `pg_pp_policy`
`password_policy.max_age`	Время жизни пароля в секундах	string	`\d+ s`	неотрицательное	`0`	`0` – Проверка максимального времени жизни пароля не производится	`maxage`
`password_policy.min_age`	Минимальное время между изменениями пароля	string	`\d+ s`	неотрицательное	`0`	`0` – Проверка максимального времени жизни пароля не производится	`minage`
`password_policy.grace_login_limit`	Максимальное количество аутентификаций после истечения срока действия пароля	integer	[0-1000]	0-1000	`0`	-	`graceloginlimit`
`password_policy.grace_login_time_limit`	Время, в течение которого пароль остается рабочим после окончания срока его действия	string	`\d+ s`	неотрицательное	`3 days`	`0` – аутентификация не доступна по истечении времени жизни пароля	`gracelogintimelimit`
`password_policy.expire_warning`	Время до истечения пароля, при котором выводится предупреждение	string	`\d+ s`	неотрицательное	`7 days`	`0` – не выводит предупреждение	`expirewarning`

Поведение при неудачной аутентификации

Параметр	Описание	Тип	POSIX шаблон	Ограничение значения	Значение по умолчанию	Специальные значения параметров	Аналог в `pg_pp_policy`
`password_policy.lockout`	Блокировка аккаунта при достижении максимума неверных попыток аутентификации	boolean	`on`/`off`	`on`/`off`	`on`	-	`lockout`
`password_policy.max_failure`	Максимальное количество неверных попыток аутентификации	integer	[1-1000]	1-1000	`6`	-	`maxfailure`
`password_policy.failure_count_interval`	Время, после которого количество неверных попыток сбрасывается	string	`\d+ s`	>= 0	`0`	`0` – счетчик не обнуляется	`failurecountinterval`
`password_policy.lockout_duration`	Время блокировки аккаунта	string	`\d+ s`	неотрицательное	24 hours	`0` – блокировка пользователя по количеству неудачных аутентификаций бессрочна	`lockoutduration`

Синтаксические проверки пароля

Параметр	Описание	Тип	Ограничение значения	Значение по умолчанию	Специальные значения параметров	Аналог в `pg_pp_policy`
`password_policy.check_syntax`	Включение синтаксической проверки пароля	boolean	`on`/`off`	`on`	–	`checksyntax`
`password_policy.alpha_numeric`	Минимальное количество цифр в пароле	integer	0-1000	`3`	`0` – не проверять	`alphanumeric`
`password_policy.min_length`	Минимальная длина пароля	integer	0-1000	`16`	`0` – не проверять	`minlength`
`password_policy.min_alpha_chars`	Минимальное количество букв в пароле	integer	0-1000	`0`	`0` – не проверять	`minalphachars`
`password_policy.min_special_chars`	Минимальное количество специальных символов	integer	0-1000	`0`	`0` – не проверять	`minspecialchars`
`password_policy.min_uppercase`	Минимальное количество прописных букв	integer	0-1000	`1`	`0` – не проверять	`minuppercase`
`password_policy.min_lowercase`	Минимальное количество строчных букв	integer	0-1000	`0`	`0` – не проверять	`minlowercase`
`password_policy.max_rpt_chars`	Максимальное количество повторяющихся символов	integer	0-1000	`0`	`0` – не проверять	`maxrptchars`

Проверка максимального времени неактивности пользователя

Параметр	Описание	Тип	Ограничение значения	Значение по умолчанию	Специальные значения параметров	Аналог в `pg_pp_policy`
`password_policy.track_login`	Запоминать ли время последней аутентификации	boolean	`on`/`off`	`off`	–	`tracklogin`
`password_policy.max_inactivity`	Время после последней аутентификации, после которого аккаунт блокируется	string	неотрицательное	`0`	`0` – функциональность отключена	`maxinactivity`

Использование библиотеки zxcvbn

Параметр	Описание	Тип	POSIX шаблон	Ограничение значения	Значение по умолчанию	Аналог в `pg_pp_policy`
`password_policy.use_password_strength_estimator`	Включение использования библиотеки `zxcvbn` для оценки сложности пароля	boolean	`on`/`off`	`on`/`off`	`on`	`usepasswordstrengthestimator`
`password_policy.password_strength_estimator_score`	Минимальная оценка сложности пароля	integer	[0-4]	0-4	`3`	`passwordstrengthestimatorscore`

Использование пользовательской функции проверки пароля

Параметр	Описание	Тип	POSIX шаблон	Значение по умолчанию	Аналог в pg_pp_policy
`password_policy.custom_function`	Пользовательская функция проверки пароля	string	`[\w\d]+`	-	`customfunction`

Проверка вхождения пароля в черный список

Параметр	Описание	Тип	Ограничение значения	Значение по умолчанию	Аналог в pg_pp_policy
`password_policy.illegal_values`	Проверка, что пароль не входит в список часто используемых	boolean	`on`/`off`	`on`	`illegalvalues`

Настройка кеширования

Параметр	Описание	Тип	POSIX шаблон	Ограничение значения	Значение по умолчанию	Аналог в pg_pp_policy
`password_policy.pp_cache_dump_interval`	Интервал сохранения данных кеша на диск	integer	`\d+`	`1` - до максимального значения int в системе	`10`	-
`password_policy.pp_cache_init_size`	Размер инициализированного кеша парольных политик	integer	`\d+`	`1` - до максимального значения int в системе	`10`	-
`password_policy.pp_cache_soft_max_size`	Предполагаемый максимальный размер кеша	integer	`\d+`	`1` - до максимального значения int в системе	`60`	-
`password_policy.pp_cache_max_size`	Ограничение сверху на размер кеша	integer	`\d+`	`1` - до максимального значения int в системе	`1000`	-

Параметры управления транспортными паролями

Параметр	Описание	Тип	Значение по умолчанию	Аналог в pg_pp_policy
`password_policy.transport_password_mark_automatic`	При значении `true` пароль становится транспортным автоматически при смене другим пользователем. При значении `false` пароль отмечается транспортным вручную	boolean	`false`	-
`transport_password_life_time`	Определяет время жизни транспортного пароля	string	`0`	transportpasswordlifetime
`password_policy.is_temp_tuz_password`	Определяет тип пароля (транспортный или нет) для указанных ТУЗ	boolean	`true`	-

Параметры аудита

Основной параметр (pgaudit.log)

Настраиваемый параметр конфигурации pgaudit.log указывает, какие классы операторов, событий, функций и команд будут регистрироваться при ведении журнала аудита сессии. Возможные значения:

READ: SELECTи COPY, если источник — отношение или запрос;
WRITE: INSERT, UPDATE, DELETE, TRUNCATE, и COPY, если цель — отношение;
FUNCTION: вызовы функций и блоки DO;
ROLE: операторы, связанные с ролями и привилегиями: GRANT, REVOKE, CREATE/ALTER/DROP ROLE;
DDL: все DDL, не входящие в класс ROLE;
MISC: прочие команды, включая DISCARD, FETCH, CHECKPOINT, VACUUM, SET;
MISC_SET: прочие команды SET, включая SET ROLE;
CONNECTION: события, связанные с подключением к серверу. Существуют 4 типа таких событий: OPEN, CLOSED, FAILED, CHANGE USER. Событие FAILED регистрируется в случае неудачной попытки аутентификации по паролю и независимо от значения pgaudit.log;
PROTECTION: функции настройки механизма защиты от привилегированных пользователей;
RECOVERY: события восстановления базы данных;
INTEGRITY: события нарушения целостности объектов контроля;
ACTION: события запуска/остановки базы данных с причиной остановки;
PARAMETER: события изменения конфигурации системы управления базами данных;
ALL: включить все вышеперечисленное.

Значение по умолчанию - 'ddl, role, connection, misc_set, protection'.

Для применения измененного значения данного параметра необходимо перечитать конфигурацию. Для добавления новых классов событий необходимо включить параметр pgaudit.legal.

Можно включить несколько классов, перечислив их через запятую, или исключить определенные классы, поставив перед ними знак -. С примером можно ознакомиться в разделе «Ведение журнала аудита сессии».

Совет

Чтобы ограничить количество записей аудита отношений для операторов SELECT и DML, рассмотрите возможность использования журнала аудита объектов. Ведение журнала аудита объектов позволяет выбрать отношения, которые будут регистрироваться, что позволяет уменьшить общий объем журнала. Однако все новые создаваемые отношения должны быть явно добавлены в журнал аудита объектов. В этом случае хорошим вариантом может быть программное решение, в котором некоторые определенные таблицы исключаются из ведения журнала, а все остальные включаются. Подробнее в разделе «Ведение журнала аудита объектов».

Дополнительные параметры