使用 SCRAM 进行 PostgreSQL 密码加密

获取数据库用户（角色）和密码加密方法的列表

1. 使用 psql 连接到 RDS for PostgreSQL 数据库实例，如下所示。

   psql --host=db-name.111122223333.aws-region.rds.amazonaws.com --port=5432 --username=postgres --password

2. 安装 rds_tools 扩展。

   postgres=> CREATE EXTENSION rds_tools;
   CREATE EXTENSION

3. 获取角色和加密的列表。

   postgres=> SELECT * FROM 
         rds_tools.role_password_encryption_type();

   您将看到类似以下内容的输出。

          rolname        | encryption_type
   ----------------------+-----------------
    pg_monitor           |
    pg_read_all_settings |
    pg_read_all_stats    |
    pg_stat_scan_tables  |
    pg_signal_backend    |
    lab_tester           | md5
    user_465             | md5
    postgres             | md5
   (8 rows)
   

创建自定义数据库参数组

1. 使用 CLI 命令 create-db-parameter-group 创建自定义数据库参数组。此示例使用 postgres13 作为此自定义参数组的来源。

   对于 Linux、macOS 或 Unix：

   aws rds create-db-parameter-group --db-parameter-group-name 'docs-lab-scram-passwords' \
     --db-parameter-group-family postgres13  --description 'Custom parameter group for SCRAM'
   

   对于 Windows：

   aws rds create-db-parameter-group --db-parameter-group-name "docs-lab-scram-passwords" ^
     --db-parameter-group-family postgres13  --description "Custom DB parameter group for SCRAM"
   

2. 使用 CLI 命令 modify-db-instance 将此自定义参数组应用于 RDS for PostgreSQL 数据库集群。

   对于 Linux、macOS 或 Unix：

   aws rds modify-db-instance --db-instance-identifier 'your-instance-name' \
           --db-parameter-group-name "docs-lab-scram-passwords

   对于 Windows：

   aws rds modify-db-instance --db-instance-identifier "your-instance-name" ^
           --db-parameter-group-name "docs-lab-scram-passwords

   要将 RDS for PostgreSQL 数据库实例与您的自定义数据库参数组重新同步，您需要重启集群的主实例和所有其他实例。为了尽量减少对用户的影响，请安排在常规维护时段内执行此操作。

将密码加密设置更改为 scram-sha-256

• 将密码加密的值更改为 scram-sha-256，如下所示。可以立即应用更改，因为参数是动态的，这样，无需重新启动即可使更改生效。

  对于 Linux、macOS 或 Unix：

  aws rds modify-db-parameter-group --db-parameter-group-name \
    'docs-lab-scram-passwords' --parameters 'ParameterName=password_encryption,ParameterValue=scram-sha-256,ApplyMethod=immediate'

  对于 Windows：

  aws rds modify-db-parameter-group --db-parameter-group-name ^
    "docs-lab-scram-passwords" --parameters "ParameterName=password_encryption,ParameterValue=scram-sha-256,ApplyMethod=immediate"

将数据库用户（角色）密码从 MD5 迁移到 SCRAM

1. 以管理员用户身份（默认用户名 postgres）登录，如下所示。

   psql --host=db-name.111122223333.aws-region.rds.amazonaws.com --port=5432 --username=postgres --password

2. 通过使用以下命令，在 RDS for PostgreSQL 数据库实例上检查 password_encryption 参数的设置。

   postgres=> SHOW password_encryption;
    password_encryption
   ---------------------
    md5
    (1 row)
   

3. 将此参数的值更改为 scram-sha-256。这是一个动态参数，因此您不需要在进行此更改后重新启动该实例。再次检查该值，以确保它现在已设置为 scram-sha-256，如下所示。

   postgres=> SHOW password_encryption;
    password_encryption
   ---------------------
    scram-sha-256
    (1 row)

4. 通知所有数据库用户更改其密码。请确保还要更改您自己的用于 postgres 账户的密码（具有 rds_superuser 权限的数据库用户）。

   labdb=> ALTER ROLE postgres WITH LOGIN PASSWORD 'change_me';
   ALTER ROLE

5. 对于您的 RDS for PostgreSQL 数据库实例上的所有数据库重复此过程。

更改参数值以要求对密码进行 SCRAM 身份验证

1. 验证 RDS for PostgreSQL 数据库实例上所有数据库的所有数据库用户密码是否使用 scram-sha-256 进行密码加密。为此，查询 rds_tools 以获得角色（用户）和加密类型，如下所示。

   postgres=> SELECT * FROM rds_tools.role_password_encryption_type();
     rolname        | encryption_type
     ----------------------+-----------------
     pg_monitor           |
     pg_read_all_settings |
     pg_read_all_stats    |
     pg_stat_scan_tables  |
     pg_signal_backend    |
     lab_tester           | scram-sha-256
     user_465             | scram-sha-256
     postgres             | scram-sha-256
     ( rows)

2. 在您的 RDS for PostgreSQL 数据库实例中的所有数据库实例中重复此查询。

   如果所有密码都使用 scram-sha-256，您可以继续操作。

3. 将接受的密码身份验证的值更改为 scram-sha-256，如下所示。

   对于 Linux、macOS 或 Unix：

   aws rds modify-db-parameter-group --db-parameter-group-name 'docs-lab-scram-passwords' \
     --parameters 'ParameterName=rds.accepted_password_auth_method,ParameterValue=scram,ApplyMethod=immediate'

   对于 Windows：

   aws rds modify-db-parameter-group --db-parameter-group-name "docs-lab-scram-passwords" ^
     --parameters "ParameterName=rds.accepted_password_auth_method,ParameterValue=scram,ApplyMethod=immediate"