PostgreSQL

Linux · Applikation och databas

Byter TLS-filer för den valda PostgreSQL-instansen och kontrollerar det lokala certifikatet.

Så går det till

Serviceagenten på servern hämtar uppgiften från appliancen över utgående HTTPS, port 443.
Hittar PostgreSQL-instanser och deras TLS-filer i konfigurationen. Du väljer instansen; relativa filsökvägar utgår från datakatalogen.
Validerar certifikat och nyckel, sparar tidigare filer och installerar med tjänstens ägare och skyddad nyckel. Bara den valda instansen läses om; PostgreSQL 9.6 startas om. Om det misslyckas: Vid ett brutet filbyte försöks återställning av tidigare filer och kontroll av den lokala identiteten. Om det gamla certifikatet fortfarande används rapporteras fel utan onödig återställning.
Kontroll: PostgreSQLs TLS-förhandling på loopback jämför det serverade certifikatet med den nya filen. Om lokal aktiv status inte kan bevisas visas en varning.

Anslutning: Paketet körs genom serviceagenten på servern. Agenten ansluter över utgående HTTPS till appliancen, port 443 som standard. Ni öppnar ingen port in till servern.
Tjänstens portar: 5432
Ni behöver: Serviceagenten installerad på servern. Python 3.6 eller senare, OpenSSL och PostgreSQLs tjänsteverktyg på servern. Kontot måste vara root eller tjänstens ägare och kunna skriva TLS-filerna och aktivera den valda instansen.
Åtgärder: Discovery, Installation, Kontroll, Rollback
Paket: postgresql-ssh 1.3.0
Observera: Discovery läser konfigurationen som den körande PostgreSQL startades med (datakatalog och config_file, annars systemd-enheten), med include-filer och postgresql.auto.conf, som PostgreSQL själv gör; relativa sökvägar läses från datakatalogen. Kan kontot inte läsa datakatalogen varnar discovery för att ALTER SYSTEM-inställningar inte har setts. Deploy och rollback godtar även filer utanför standardkatalogerna när den aktiva konfigurationen använder just det paret.
Discovery bygger på läsbara konfigurationsfiler och kan visa externa filskrivare, men är inte en fullständig lista. CA-, CRL- och klientåtkomstinställningar ändras inte.
Den lokala kontrollen visar certifikatets identitet; den validerar inte CA-tillit eller värdnamn. Instans, tjänst och loopback-port kan anges när automatiskt val inte passar.