KingbaseES V8R3 运维案例 -- 单实例环境升级用户认证sha-256
案例说明：
默认KingbaseES V8R3用户认证采用md5加密，有的生产环境对安全要求较高，需要将md5升级到sha-256；如果口令使用 scram-sha-256 设置加密，那么它可以被用于认证方法 scram-sha-256 和 md5、password （但后一种情况中口令将以明文传输）。如果口令使用 md5 设置加密，那么它仅能用于 md5 和 password 认证方法说明（同样，后一种情况中口令以明文传输）。本案例描述了在KingbaseES V8R3单实例环境下升级md5到sha-256过程。
MD5和SHA-256简介：
1） MD5简介
MD5信息摘要算法，一种被广泛使用的密码散列函数，可以产生出一个128位（16字节）的散列值（哈希值），用于确保信息传输完整一致。2004年，证实MD5算法无法防止碰撞（collision），因此不适用于安全性认证，如SSL公开密钥认证或是数字签名等用途。对于任意长度的消息，这个摘要相当于是个长度为16个字节的数组，通常用一个长度为32的十六进制字符串来表示。
2） SHA-256简介
SHA-256信息摘要算法，也是一种密码散列函数对于任意长度的消息，SHA256都会产生一个256bit长的散列值（哈希值），用于确保信息传输完整一致，称作消息摘要。这个摘要相当于是个长度为32个字节的数组，通常用一个长度为64的十六进制字符串来表示。
适用版本：
KingbaseES V8R3
一、查看当前用户口令加密方式
# 加密方式
test=# show password_encryption ;
password_encryption
---------------------
md5
(1 row)
# 用户加密后口令信息
test=# select rolname, rolpassword from sys_authid;
rolname | rolpassword
----------------------+-------------------------------------
SYS_SIGNAL_BACKEND |
SYSTEM | md53afebd0fba6df9fc2cf82c0b09926bcc
SUPERMANAGER_V8ADMIN | md5f7902af5f3f7cdcad02b5ca09320d102
SYSSSO | md506de7a576af7f2791face19665f08a10
SYSSAO | md5ce2668ef745c2a09d32010b185466e91
(5 rows)
二、配置数据库启用sha-256加密方式
1、修改kingbase.conf配置
[kingbase@node101 data]$ cat kingbase.conf |grep password
#password_encryption = md5 # md5, sha-256 or plain
password_encryption = sha-256 # md5, sha-256 or plain
2、重启数据库实例
[kingbase@node101 bin]$ ./sys_ctl restart -D /data/kingbase/v8r3_370/data/
3、连接数据库实例
[kingbase@node101 bin]$ ./ksql -U system -W 123456 test
ksql (V008R003C002B0370)
Type "help" for help.
# 查看用户密码加密方式
test=# show password_encryption ;
password_encryption
---------------------
sha-256
(1 row)
# 查看用户密码加密方式（默认采用md5）
test=# select rolname, rolpassword from sys_authid;
rolname | rolpassword
----------------------+-------------------------------------
SYS_SIGNAL_BACKEND |
SYSTEM | md53afebd0fba6df9fc2cf82c0b09926bcc
SUPERMANAGER_V8ADMIN | md5f7902af5f3f7cdcad02b5ca09320d102
SYSSSO | md506de7a576af7f2791face19665f08a10
SYSSAO | md5ce2668ef745c2a09d32010b185466e91
(5 rows)
4、升级用户密码
# 重新配置用户密码
test=# alter user system with password '123456';
ALTER ROLE
# 查看用户加密口令
test=# select rolname, rolpassword from sys_authid;
rolname | rolpas
sword
----------------------+---------------------------------------------------------------------------------
SYS_SIGNAL_BACKEND |
SUPERMANAGER_V8ADMIN | md5f7902af5f3f7cdcad02b5ca09320d102
SYSSSO | md506de7a576af7f2791face19665f08a10
SYSSAO | md5ce2668ef745c2a09d32010b185466e91
SYSTEM | sha-256:i0txmo38ZPh2zg==:4096:081a36a8f42a6f4720c6fd5342fa8c4f1a352e2901c49bb7b5
b37b685d51cfac:5b273d277831f28ca3a6307d199d9d70f19a14615c7bb31684b36c5250403d39
(5 rows
如下所示，system用户密码已经升级为sha-256加密：
5、配置sys_hba.conf
# TYPE DATABASE USER ADDRESS METHOD
# "local" is for Unix domain socket connections only
local all all sha-256
# IPv4 local connections:
host all all 127.0.0.1/32 sha-256
host all all 0.0.0.0/0 sha-256
# IPv6 local connections:
host all all ::1/128 sha-256
host all all ::0/0 sha-256
# Allow replication connections from localhost, by a user with the
# replication privilege.
#local replication SYSTEM sha-256
#host replication SYSTEM 127.0.0.1/32 sha-256
#host replication SYSTEM ::1/128 sha-256
# 重新加载配置文件
test=# select sys_reload_conf();
sys_reload_conf
-----------------
t
(1 row)
三、用户连接访问数据库
1、查看用户密码加密方式
[kingbase@node102 bin]$ ./ksql -h 192.168.1.101 -U system -W 123456 test
ksql (V008R003C002B0370)
Type "help" for help.
test=# show password_encryption ;
password_encryption
---------------------
sha-256
(1 row)
2、用户连接数据库
[kingbase@node102 bin]$ ./ksql -h 192.168.1.101 -U system -W 123456 test
ksql (V008R003C002B0370)
Type "help" for help.
test=#
Tips：
注意老的客户端可能缺少对SCRAM认证机制的支持，因此无法使用用SCRAM-SHA-256加密的口令.
四、总结
对于KingbaseES V8R3较新版本支持sha-256加密认证方式，单实例环境升级md5到sha-256较为简单；但是对于KingbaseES V8R3集群环境，注意kingbasecluster的集群之间的认证，用户不支持sha-256加密认证。
