Включение SSL-шифрования

Создайте каталог, в котором вы хотите генерировать сертификаты, предоставьте к нему полные права доступа и перейдите в него. Например:

$ sudo mkdir /etc/certificates
$ sudo chmod 777 /etc/certificates
$ cd /etc/certificates

Чтобы создать сертификат сервера, который смогут проверить клиенты, создайте запрос сертификата (Certificate Signing Request, CSR) и файлы открытого/закрытого ключей. Замените <root.yourdomain.com> на желаемое значение, например, CN=eek-host-1. Также необходимо установить разрешения:

$ openssl req -new -nodes -text -out root.csr -keyout root.crt.key -subj "/CN=<root.yourdomain.com>"
$ chmod 600 root.crt.key

Подпишите запрос ключом, чтобы создать корневой центр сертификации. Обратите внимание, что путь к файлу openssl.cnf (/etc/ssl/openssl.cnf) может отличаться в вашем окружении:

$ openssl x509 -req -in root.csr -text -days 3650 \
  -extfile /etc/ssl/openssl.cnf -extensions v3_ca \
  -signkey root.crt.key -out root.crt

$ chmod 644 root.crt

Создайте сертификат ADPG generic, подписанный новым корневым центром сертификации, и установите необходимые права:

$ openssl req -new -nodes -text -out generic_1.csr -keyout generic_1.crt.key -subj "/CN=$(hostname)" -config /tmp/san.cnf
$ chmod 644 generic_1.crt.key
$ openssl x509 -req -in generic_1.csr -text -days 365 -CA root.crt -CAkey root.crt.key -CAcreateserial -out generic_1.crt -extfile /tmp/san.cnf -extensions v3_req

Создайте сертификат Arenadata PostgreSQL, подписанный новым корневым центром сертификации:

$ openssl req -new -nodes -text -out postgres_1.csr -keyout postgres_1.crt.key -subj "/CN=$(hostname)" -config /tmp/san.cnf
$ openssl x509 -req -in postgres_1.csr -text -days 365 -CA root.crt -CAkey root.crt.key -CAcreateserial -out postgres_1.crt

Проверьте сертификаты. Команды ниже должны вернуть OK:

 $ openssl verify -CAfile root.crt generic_1.crt
 $ openssl verify -CAfile root.crt postgres_1.crt

Измените разрешения для сертификата Arenadata PostgreSQL и его ключа:

$ sudo chown postgres:postgres /etc/certificates/postgres_1.*

Скопируйте сертификаты CA в стандартный каталог для хранения корневых сертификатов удостоверяющих центров (по умолчанию этот каталог — /usr/local/share/ca-certificates/) и выполните команду update-ca-certificates, чтобы обновить кеш доверенных сертификатов. Этот шаг необходимо выполнить на всех хостах с сервисом ADPG после того, как вы скопируете на них сертификаты.

$ sudo cp generic_1.crt /usr/local/share/ca-certificates/
$ sudo cp postgres_1.crt /usr/local/share/ca-certificates/
$ sudo cp root.crt /usr/local/share/ca-certificates/
$ sudo update-ca-certificates

Скопируйте файлы generic_1.crt и generic_1.crt.key на другие хосты кластера, используя тот же путь (в этом примере — /etc/certificates) и установите права для generic_1.crt.key:

$ sudo chmod 644 generic_1.crt.key

Скопируйте файлы postgres_1.crt и postgres_1.crt.key на все хосты кластера с сервисом ADPG, используя тот же путь (в этом примере — /etc/certificates), и установите права для файлов:

$ sudo chown postgres:postgres /etc/certificates/postgres_1.*

Скопируйте файл root.crt на другие хосты кластера, используя тот же путь (в этом примере — /etc/certificates), и установите права для root.crt:

$ chmod 644 root.crt

Выполните шаг 5 на всех хостах с сервисом ADPG.

Добавьте запись, разрешающую SSL-соединения, в поле PG_HBA раздела SSL Configuration. Например:

hostssl all all 0.0.0.0/0 cert clientcert=1

Установите параметр ssl_ca_file в поле postgresql.conf раздела ADPG Configurations. Для этого примера значение будет следующим:

ssl_ca_file='/etc/certificates/root.crt'

Выполните действие Reconfigure & Restart сервиса ADPG.