自定义DWS密码策略
创建用户或修改用户时需要指定密码，DWS有默认的密码复杂度要求，也支持用户自定义数据库账户密码策略。
DWS默认密码策略
DWS默认进行密码复杂度校验，默认密码策略要求如下：
- 长度为8~32个字符。
- 至少包含大写字母、小写字母、数字或特殊字符中三种的组合。
- 不能是用户名和用户名反序，此条要求为非大小写敏感。
- 不能是当前密码、当前密码的反序。
自定义密码策略
密码策略包含：密码复杂度要求、密码有效期、密码重用设置以及密码的加密方式及密码重试与锁定，不同的策略项由对应的GUC参数控制，参见下表（详细内容也可参考安全和认证（postgresql.conf））：
| 密码策略 | 对应参数名称 | 参数描述 | 参数取值范围 | DWS默认值 |
|---|---|---|---|---|
| 是否进行密码复杂度检查 | password_policy | 创建或者修改DWS账户时，该参数决定是否进行密码复杂度检查。 | 整型，0、1
| 1 |
| 密码复杂度要求 | password_min_length | 密码的最小长度。 | 整型，6~999 | 8 |
| password_max_length | 密码的最大长度。 | 整型，6~999 | 32 | |
| password_min_uppercase | 包含大写字母（A-Z）的最少个数。 | 整型，0~999
| 0 | |
| password_min_lowercase | 包含小写字母（a-z）的最少个数。 | 整型，0~999
| 0 | |
| password_min_digital | 包含数字（0-9）的最少个数。 | 整型，0~999
| 0 | |
| password_min_special | 包含特殊字符的最少个数（特殊字符的列表请参见表2）。 | 整型，0~999
| 0 | |
| 密码有效期 | password_effect_time | 用户的密码有效期。当达到所设置的密码到期提醒天数password_notify_time时，系统会在用户登录数据库时提示用户修改密码。 | 浮点型，0~999，单位为天。
| 90 |
| password_notify_time | 密码到期前提醒的天数。 | 整型，0~999，单位为天。
| 7 | |
| 密码重用设置 | password_reuse_time | 不可重用天数。 | 浮点型，0~3650，单位为天。
| 60 |
| password_reuse_max | 不可重用次数。 | 整型，0~1000
| 0 | |
| 加密方式 | password_encryption_type | 采用何种加密方式对用户密码进行加密存储。 | 0、1、2
| 1 |
| 重试与锁定 | password_lock_time | 账户被锁定后自动解锁的时间 | 浮点型，0~365，单位为天。
| 1 |
| failed_login_attempts | 如果输入密码错误的次数达到failed_login_attempts则当前账户被锁定，password_lock_time秒后被自动解锁。 | 整型，0~1000
| 10 |
示例二：配置密码有效期password_effect_time参数。
- 使用如下命令连接数据库。
gsql -d postgres -p 25308
postgres为需要连接的数据库名称，25308为CN的端口号。
连接成功后，系统显示类似如下信息：
gsql ((GaussDB x.x.x build 39137c2d) compiled at 2022-04-01 15:43:11 commit 3629 last mr 5138 release) Non-SSL connection (SSL connection is recommended when requiring high-security) Type "help" for help. postgres=#
- 查看已配置的参数。
1 2 3 4 5
SHOW password_effect_time; password_effect_time ---------------------- 90 (1 row)
如果显示结果不为90，执行“\q”命令退出数据库。
- 执行如下命令设置成默认值90（不建议设置为0）。
gs_guc reload -Z coordinator -Z datanode -N all -I all -c "password_effect_time = 90"
密码设置和修改
- 建议系统管理员和普通用户都要定期修改自己的账户密码，避免账户密码被非法窃取。
以修改用户user1密码为例，使用管理员用户连接数据库并执行如下命令：
1ALTER USER user1 IDENTIFIED BY 'newpassword' REPLACE 'oldpassword';
- 管理员可以修改自己的或者其他账户的密码。通过修改其他账户的密码，解决用户密码遗失所造成无法登录的问题。
1ALTER USER joe IDENTIFIED BY 'password';
- 系统管理员之间不允许互相修改对方密码。
- 系统管理员可以修改普通用户密码且不需要用户原密码。
- 系统管理员可以修改自己的密码但需要管理员原密码。
