Данная запись соответствует попыткам подключения с использованием Unix-сокетов в локальном домене. При отсутствии записи данного типа подключения через Unix-сокеты будут запрещены.

Данная запись соответствует попыткам подключения по протоколу TCP/IP. host записи соответствуют SSL или незашифрованныеSSL соединение попытки соединения, а также GSSAPI зашифрованные или не-GSSAPI зашифрованные попытки соединения.

Данная запись соответствует попыткам соединения по протоколу TCP/IP, но только если соединение устанавливается с использованием SSL шифрования.

Для использования данной опции сервер должен быть собран с SSL поддержка. Кроме того, SSL должен быть включен путем установки значения ssl параметра конфигурации (см. Раздел 3.3.9 для получения дополнительной информации). В противном случае hostssl запись игнорируется, за исключением вывода в журнал предупреждения о том, что она не может соответствовать ни одному соединению.

Данный тип записи имеет поведение, противоположное hostssl; он соответствует только попыткам подключения через TCP/IP, которые не используют SSL.

Данная запись соответствует попыткам соединения по протоколу TCP/IP, но только если соединение устанавливается с использованием GSSAPI шифрования.

Для использования данной опции сервер должен быть собран с GSSAPI поддержка. В противном случае, данная hostgssenc запись игнорируется, за исключением записи в журнал предупреждения о том, что она не может соответствовать ни одному соединению.

Данный тип записи имеет поведение, противоположное hostgssenc; он соответствует только попыткам подключения через TCP/IP, которые не используют GSSAPI шифрование.

Данный параметр определяет имена баз данных, которым соответствует эта запись. Значение all указывает на то, что она соответствует всем базам данных. Значение sameuser определяет, что запись считается подходящей, если имя запрашиваемой базы данных совпадает с именем запрашиваемого пользователя. Значение samerole указывает на то, что запрашиваемый пользователь должен входить в роль, имя которой совпадает с именем запрашиваемой базы данных. (samegroup представляет собой устаревший, но все еще допустимый вариант написания samerole.) Суперпользователи не рассматриваются как члены роли для целей samerole если они не указаны явно участников роли (напрямую или косвенно), а не только по причине наличия прав суперпользователя. Значение replication определяет, что запись соответствует случаю, когда запрашивается соединение для физической репликации, однако оно не совпадает с соединениями для логической репликации. Обратите внимание, что для соединений физической репликации конкретная база данных не указывается, тогда как в соединениях для логической репликации она должна быть указана. В противном случае данный параметр определяет имя конкретной Digital Q.DataBase базы данных или регулярное выражение. Можно указать несколько имен баз данных и/или регулярных выражений, разделяя их запятыми.

Если имя базы данных начинается с косой черты (/), то оставшаяся часть имени рассматривается как регулярное выражение. (См. Раздел 2.6.7.3.1 для получения подробных сведений о синтаксисе регулярных выражений в Digital Q.DataBase)

Отдельный файл, содержащий имена баз данных и/или регулярные выражения, можно указать, добавив перед именем файла символ @.

Определяет, какому имени (или именам) пользователя базы данных соответствует данная запись. Значение all указывает на то, что запись соответствует всем пользователям. В противном случае это может быть имя конкретного пользователя базы данных, регулярное выражение (если оно начинается с косой черты (/) или имя группы, перед которым стоит символ +. (Напомним, что в нет фактического различия между пользователями и группами Digital Q.DataBase; символ + фактически означает «соответствие любой из ролей, которые прямо или косвенно входят в состав данной роли», в то время как имя без символа + соответствует только этой конкретной роли). Для этой цели суперпользователь считается членом роли только в том случае, если он явно является членом этой роли, прямо или косвенно, а не просто в силу своего статуса обладание правами суперпользователя. Допускается указание нескольких имен пользователей и/или регулярных выражений путем разделяя их запятыми.

Если имя пользователя начинается с косой черты (/), то оставшаяся часть имени рассматривается как регулярное выражение. (См. Раздел 2.6.7.3.1 для получения подробных сведений о синтаксисе регулярных выражений в Digital Q.DataBase)

Отдельный файл, содержащий имена пользователей и/или регулярные выражения, может быть указан путем добавления перед именем файла символа @.

Определяет адрес(а) клиентских машин, которым соответствует данная запись. Данное поле может содержать имя узла, диапазон IP-адресов или одно из перечисленных ниже специальных ключевых слов.

Диапазон IP-адресов указывается в стандартной цифровой нотации для начального адреса диапазона, после которого ставится косая черта (/) и CIDR длина маски. Длина маски определяет количество старших разрядов IP-адреса клиента, которые должны совпадать. Биты справа от них в указанном IP-адресе должны иметь значение ноль. Между IP-адресом, /и длиной маски CIDR не должно быть пробельных символов.

Типичными примерами диапазона IPv4-адресов, заданных таким способом, являются 172.20.143.89/32 для отдельного хоста или 172.20.143.0/24 для небольшой сети или 10.6.0.0/16 для более крупной сети. Диапазон IPv6-адресов может иметь вид ::1/128 для отдельного хоста (в данном случае это IPv6-адрес локальной петли) или fe80::7a31:c1ff:0000:0000/96 для небольшой сети. 0.0.0.0/0 обозначает все IPv4-адреса, а ::0/0 обозначает все IPv6-адреса. Для указания отдельного хоста используйте маску длиной 32 для IPv4 или 128 для IPv6. В сетевом адресе не следует опускать завершающие нули.

Запись, указанная в формате IPv4, будет соответствовать только IPv4-соединениям, а запись, указанная в формате IPv6, будет соответствовать только соединениям по протоколу IPv6, даже если адрес находится в диапазоне IPv4-в-IPv6.

Для сопоставления с любым IP-адресом можно использовать all специальное значение, samehost для соответствия любому из собственных IP-адресов сервера или samenet для соответствия любому адресу в любой подсети, к которой сервер подключен напрямую.

Если указано имя узла (любое значение, не являющееся диапазоном IP-адресов или ключевым словом, интерпретируется как имя узла), то это имя сопоставляется с результатом обратного разрешения имени для IP-адреса клиента (например, с помощью обратного DNS-запроса, если используется DNS). Сравнение имен узлов выполняется без учета регистра. В случае совпадения выполняется прямое разрешение имени (например, прямой DNS-запрос) для данного узла имя для проверки того, совпадает ли какой-либо из IP-адресов, в которые оно разрешается, с IP-адресом клиента. Если данные в обоих направлениях совпадают, запись считается подходящей. (Имя узла, которое используется в pg_hba.conf должно соответствовать имени, которое возвращается при разрешении IP-адреса клиента в имя, в противном случае соответствие по данной строке не будет установлено. Некоторые базы данных имен узлов позволяют сопоставлять один IP-адрес с несколькими именами узлов, однако операционная система возвращает только одно имя узла при выполнении запроса на разрешение IP-адреса.)

Если спецификация имени узла начинается с точки (.), она соответствует суффиксу фактического имени узла. Таким образом, .example.com будет соответствовать имени foo.example.com (но не только example.com).

В случаях, когда указаны имена узлов, нет фактического различия между пользователями и группами pg_hba.conf, следует убедиться в том, что разрешение имен выполняется достаточно быстро. Целесообразно также настроить локальное кэширование имен, например, с помощью службы такой как nscd. Кроме того, может потребоваться включить параметр конфигурации log_hostname , чтобы видеть в журнале имя узла клиента вместо его IP-адреса.

Данные поля не применяются к local записям.

Эти два поля могут использоваться в качестве альтернативы IP-адрес/mask-length нотации. Вместо указания длины маски само значение маски задается в отдельном столбце. Например, 255.0.0.0 соответствует значению маски IPv4 CIDR длиной 8, а 255.255.255.255 соответствует значению маски CIDR длиной 32.

Данные поля не применяются к local записям.

Задает метод аутентификации, который будет использоваться, если соединение соответствует данной записи. Возможные варианты выбора кратко перечислены здесь; подробности приведены в Раздел 3.5.3. Все параметры записываются в нижнем регистре и чувствительны к регистру, поэтому даже такие аббревиатуры, как ldap должны указываться строчными буквами.

После auth-method данного поля могут следовать поля вида имя=value , которые определяют параметры метода аутентификации. Подробные сведения о том, какие параметры доступны для конкретных методов аутентификации, приведены ниже.

Помимо перечисленных ниже параметров, специфичных для конкретных методов, существует не зависящий от метода параметр аутентификации clientcert, который может быть указан в любой hostssl записи. Для данного параметра может быть установлено значение verify-ca или verify-full. Оба значения требуют, чтобы клиент предоставил действительный (доверенный) SSL-сертификат, тогда как verify-full дополнительно контролируется, что поле cn (Common Name) в сертификате совпадает с именем пользователя или соответствующим правилом сопоставления. Данное поведение аналогично cert методу аутентификации (см. Раздел 3.5.12), но позволяет комбинировать проверку клиентских сертификатов при использовании любого метода аутентификации, который поддерживает hostssl записи.

Для любой записи, использующей аутентификацию по клиентскому сертификату (т. е. записи, использующей cert метод аутентификации или использующей clientcert параметр), можно указать, какую часть учётных данных клиентского сертификата следует сопоставлять, используя данная clientname параметр. Данный параметр может принимать одно из двух значений. Если указан параметр clientname=CN, который (значение по умолчанию), имя пользователя сопоставляется с полем сертификата Common Name (CN). Если вместо этого указать clientname=DN имя пользователя будет сопоставляться с полное отличительное имя (DN) сертификата. Данный параметр целесообразно использовать совместно с картой имен пользователей. Сравнение выполняется со значением DN в RFC 2253 формате. Чтобы получить DN клиентского сертификата в данном формате, используйте команду:

openssl x509 -in myclient.crt -noout -subject -nameopt RFC2253 | sed "s/^subject=//"

При использовании данного параметра следует проявлять осторожность, особенно при применении регулярных выражений для сопоставления с DN.

Данная строка будет заменена содержимым указанного файла.

Данная строка будет заменена содержимым указанного файла, если данный файл существует. В противном случае в журнал заносится сообщение о том, что файл было пропущено.

Данная строка будет заменена содержимым всех файлов, найденных в каталоге, если они не начинаются с . и не заканчиваются на .conf, обрабатываемыми в порядке имен файлов (согласно правилам локали C, то есть сначала цифры, затем прописные буквы и в конце строчные).