GSSAPI представляет собой стандартный отраслевой протокол безопасной аутентификации, описанный в RFC 2743. Digital Q.DataBase поддерживает GSSAPI для аутентификации, шифрования трафика или для обеих целей одновременно. GSSAPI обеспечивает автоматическую аутентификацию (технологию единого входа) для систем, поддерживающих данный механизм. Сама процедура аутентификации является безопасной. Если GSSAPI шифрование или SSL если используется шифрование, данные, передаваемые через соединение с базой данных, будут зашифрованы; в противном случае — нет.

Когда GSSAPI использует Kerberos, он использует стандартное имя субъекта службы (идентификатор аутентификации) в формате servicename/hostname@realm. Имя субъекта (principal), используемое в конкретной инсталляции, не кодируется в Digital Q.DataBase сервере; напротив, оно задается в keytab файл, который считывает сервер для определения подлинности. Если в keytab-файле указано несколько субъектов, сервер примет любой из них. Именем области сервера является предпочтительная область (realm), указанная в конфигурационных файлах Kerberos, доступных серверу.

При установке соединения клиент должен знать имя субъекта сервера, к которому он планирует подключиться. servicename часть субъекта (principal) обычно представляет собой postgres, однако другое значение может быть выбрано с помощью libpq krbsrvname параметр подключения. Данный hostname часть является полным доменным именем узла, к которому libpq выполняется подключение. Именем области (realm) является предпочтительная область, указанная в конфигурационных файлах Kerberos, доступных клиенту.

Клиент также должен иметь имя субъекта для собственной идентификации (и для данного субъекта должен быть получен действительный билет). Для использования GSSAPI в целях аутентификации субъект клиента должен быть сопоставлен с Digital Q.DataBase имя пользователя базы данных. Данный pg_ident.conf Для сопоставления имен субъектов с именами пользователей может использоваться конфигурационный файл; например, pgusername@realm может быть сопоставлено просто с pgusername. В качестве альтернативы можно использовать полное имя username@realm субъекта в качестве имени роли в Digital Q.DataBase без дополнительного сопоставления.

Digital Q.DataBase также поддерживает сопоставление субъектов клиентов с именами пользователей путем простого удаления области (realm) из имени субъекта. Данный метод поддерживается для обеспечения обратной совместимости, однако его использование крайне не рекомендуется, так как в этом случае становится невозможно различить разных пользователей с одинаковыми именами, принадлежащих к разным областям. Для активации этой возможности установите параметр include_realm в значение 0. Для простых конфигураций с одной областью (realm) использование данного метода в сочетании с настройкой krb_realm параметра (который проверяет, что область участника точно соответствует значению, указанному в krb_realm параметр) по-прежнему безопасен, однако этот подход менее эффективен по сравнению с указанием явного сопоставления в pg_ident.conf.

Местоположение файла keytab сервера задается krb_server_keyfile параметром конфигурации. В целях безопасности рекомендуется использовать отдельный файл keytab исключительно для Digital Q.DataBase сервера, не предоставляя серверу доступ к системному файлу keytab. Убедитесь, что файл keytab сервера доступен для чтения (и, желательно, только для чтения) для Digital Q.DataBase учетной записи сервера. (См. также Раздел 3.3.1.)

Файл keytab генерируется с помощью программного обеспечения Kerberos; подробную информацию см. в документации Kerberos. В следующем примере показано выполнение данной операции с помощью kadmin инструмент MIT Kerberos:

kadmin% addprinc -randkey postgres/server.my.domain.org
kadmin% ktadd -k krb5.keytab postgres/server.my.domain.org

Для метода аутентификации GSSAPI поддерживаются следующие параметры: