PG16:Allow file inclusion in pg_hba and pg_ident files

はじめに

にゃーん。趣味でポスグレをやっている者だ。

この記事はPostgreSQL 16 全部ぬこ Advent Calendar 2022 3日目の記事です。
今回はPostgreSQLへの認証を制御するファイルに追加された機能について書いてみます。

概要

項目	内容
タイトル	Allow file inclusion in pg_hba and pg_ident files
Topic	Server Features
ステータス	commited
Last modified	2022-11-28
概要	pg_hba.conf, pg_ident.confに include句が追加された

変更内容

PostgreSQLの設定ファイル(postgresql.conf)には、以前から include 指定がありました。
include 指定により一部の設定を別ファイルに分離するという管理が可能になっていましたが、他のPostgreSQLの設定ファイル(pg_hba.conf, pg_ident.conf)では、include 指定は未対応でした。
以下、ホストベース認証ファイル(pg_hba.conf)を例にして、include指定の挙動を確認します。

include指定のパターン

PostgreSQL 16で追加された include のパターンは以下の3つです。

include指定	意味
include	指定されたファイルの内容を取り込む。 存在しない場合にはエラーがpg_hba_file_rulesに報告される。
include_if_exists	指定されたファイルの内容を取り込む。 存在しない場合にはスキップする。
include_dir	インクルード対象のファイルが格納されたディレクトリ上のファイルを読み込む。

pg_hba.confでの指定例

例として、pg_hba.confに各inlcude指定を行ったパターンを見てみます。

検証準備

以下のロールとデータベースをてきとーに作成します。

$ createuser user_a
$ createuser user_b
$ createdb db_a
$ createdb db_b
$

include

pg_hba.confを編集します。

$ cat /data/pgdata/16/pg_hba.conf
# TYPE  DATABASE        USER            ADDRESS                 METHOD
# "local" is for Unix domain socket connections only
include /tmp/user_hba.conf
local   all             postgres                                trust
$

includeに指定したファイルの内容はこんな感じ。

$ cat /tmp/user_hba.conf
# TYPE  DATABASE        USER            ADDRESS                 METHOD
local   db_a            user_a                                  trust
local   db_b            user_b                                  trust
$

PostgreSQLサーバをリロードして、pg_hba_file_rulesビューを確認します。

$ pg_ctl -D /data/pgdata/16 reload
server signaled
$ psql postgres -c "TABLE pg_hba_file_rules"
 rule_number |          file_name          | line_number | type  | database | user_name  | address | netmask | auth_method | options | error
-------------+-----------------------------+-------------+-------+----------+------------+---------+---------+-------------+---------+-------
           1 | /tmp/user_hba.conf          |           2 | local | {db_a}   | {user_a}   |         |         | trust       |         |
           2 | /tmp/user_hba.conf          |           3 | local | {db_b}   | {user_b}   |         |         | trust       |         |
           3 | /data/pgdata/16/pg_hba.conf |           4 | local | {all}    | {postgres} |         |         | trust       |         |
(3 rows)

きちんとincludeしたホストベース認証の設定が反映されてますね。

一応、認証の確認をします。

$ psql -U user_a db_a
psql (16devel)
Type "help" for help.

=> \q
$ psql -U user_a db_b
psql: error: connection to server on socket "/tmp/.s.PGSQL.16001" failed: FATAL:  no pg_hba.conf entry for host "[local]", user "user_a", database "db_b", no encryption
$

問題なくホストベース認証が機能してますね。

指定したファイルが存在しないとき

includeで指定したファイルが存在しない場合にも、reload時にエラーにはなりません。
エラーにはならないのpg_hba_file_rulesビューにも記録されません。

$ pg_ctl -D /data/pgdata/16 reload
server signaled
$ psql postgres -c "SELECT file_name, line_number, error FROM pg_hba_file_rules"
          file_name          | line_number |                              error
-----------------------------+-------------+-----------------------------------------------------------------
 /data/pgdata/16/pg_hba.conf |           3 | could not open file "/tmp/hoge.conf": No such file or directory
 /data/pgdata/16/pg_hba.conf |           4 |
(2 rows)

$

include_if_exists

pg_hba.confを書き換えます。

$ cat /data/pgdata/16/pg_hba.conf
# TYPE  DATABASE        USER            ADDRESS                 METHOD
# "local" is for Unix domain socket connections only
include_if_exists /tmp/user_hba.conf
local   all             postgres                                trust
$

リロードして、pg_hba_file_rulesを確認します。

$ pg_ctl -D /data/pgdata/16 reload
server signaled
$ psql postgres -c "TABLE pg_hba_file_rules"
 rule_number |          file_name          | line_number | type  | database | user_name  | address | netmask | auth_method |
options | error
-------------+-----------------------------+-------------+-------+----------+------------+---------+---------+-------------+-
--------+-------
           1 | /tmp/user_hba.conf          |           2 | local | {db_a}   | {user_a}   |         |         | trust       |
        |
           2 | /tmp/user_hba.conf          |           3 | local | {db_b}   | {user_b}   |         |         | trust       |
        |
           3 | /data/pgdata/16/pg_hba.conf |           4 | local | {all}    | {postgres} |         |         | trust       |
        |
(3 rows)

$

存在するときの挙動はinclude指定と同じです。

指定したファイルが存在しないとき

include＿exits_ifで指定したファイルが存在しない場合にも、reload時にエラーにはなりません。
また、この場合にはエラーはpg_hba_file_rulesビューにも記録されません。

$ pg_ctl -D /data/pgdata/16 reload
server signaled
$ psql postgres -c "SELECT file_name, line_number, error FROM pg_hba_file_rules"
          file_name          | line_number | error
-----------------------------+-------------+-------
 /data/pgdata/16/pg_hba.conf |           4 |
(1 row)

$

include_dir

最後に、ホストベース認証ファイルを格納しているディレクトリを指定include_dirで指定する方法を紹介します。

/tmp/user_hba_conf_dirというディレクトリに01_user_hba_b.conf, 02_user_hba_a.confという2つのファイルを用意します。

$ pwd
/tmp/user_hba_conf_dir
$ ls
01_user_hba_b.conf  02_user_hba_a.conf
$ cat 01_user_hba_b.conf
# TYPE  DATABASE        USER            ADDRESS                 METHOD
local   db_b            user_b                                  trust
$ cat 02_user_hba_a.conf
# TYPE  DATABASE        USER            ADDRESS                 METHOD
local   db_a            user_a                                  trust
$

pg_hba.confにinclude_dir指定を書きます。

$ cat /data/pgdata/16/pg_hba.conf
# TYPE  DATABASE        USER            ADDRESS                 METHOD
# "local" is for Unix domain socket connections only
include_dir /tmp/user_hba_conf_dir
local   all             postgres                                trust
$

PostgreSQLサーバをリロードして、pg_hba_file_rulesビューを確認します。

$ pg_ctl -D /data/pgdata/16 reload
server signaled
$ psql postgres -c "TABLE pg_hba_file_rules"
 rule_number |                 file_name                 | line_number | type  | database | user_name  | address | netmask |
auth_method | options | error
-------------+-------------------------------------------+-------------+-------+----------+------------+---------+---------+-
------------+---------+-------
           1 | /tmp/user_hba_conf_dir/01_user_hba_b.conf |           2 | local | {db_b}   | {user_b}   |         |         |
trust       |         |
           2 | /tmp/user_hba_conf_dir/02_user_hba_a.conf |           2 | local | {db_a}   | {user_a}   |         |         |
trust       |         |
           3 | /data/pgdata/16/pg_hba.conf               |           4 | local | {all}    | {postgres} |         |         |
trust       |         |
(3 rows)

$

include_dirで指定したディレクトリ内に複数のファイルが存在する場合、ファイル名順に設定が反映されます（なので、01_user_b.confから反映されます。この規則を利用して、反映される順序をファイル名の付与により制御できるようですね。

おわりに

今回は、pg_hba.conf, pg_ident.confに追加されたinclude機能について書いてみました。
データベースユーザ数が多い場合の管理方法がちょっと便利になるかもしれませんね。