设置密码安全策略

操作步骤

1. 参考连接数据库，连接数据库。
2. 查看已配置的加密算法。

   1 2 3 4 5

   openGauss=# SHOW password_encryption_type; password_encryption_type -------------------------- 2 (1 row)

   如果显示结果为0或1，执行“\q”命令退出数据库。

3. 修改"password_encryption_type"参数取值，设置为安全的加密算法。
   

   为防止用户密码泄露，在执行CREATE USER/ROLE命令创建数据库用户时，不能指定UNENCRYPTED属性，即新创建的用户的密码只能是加密存储的。

4. 配置密码安全参数。
   • 密码复杂度

     初始化数据库、创建用户、修改用户时需要指定密码。密码必须要符合复杂度（password_policy）的要求，否则会提示用户重新输入密码。

     • 参数password_policy设置为1时表示采用密码复杂度校验，默认值。
     • 参数password_policy设置为0时表示不采用任何密码复杂度校验，设置为0会存在安全风险，不建议设置为0，即使需要设置也要将所有数据库节点中的password_policy都设置为0才能生效。

     配置password_policy参数。

     帐户密码的复杂度及长度要求如下：

     • 包含大写字母（A-Z）的最少个数（根据GUC参数password_min_uppercase配置）。
     • 包含小写字母（a-z）的最少个数（根据GUC参数password_min_lowercase配置）。
     • 包含数字（0-9）的最少个数（根据GUC参数password_min_digital配置）。
     • 包含特殊字符的最少个数（根据GUC参数password_min_special配置，特殊字符的列表请参见表1）。
     • 密码的最小长度（根据GUC参数password_min_length配置）。
     • 密码的最大长度（根据GUC参数password_max_length配置）。
       

       上述GUC参数配置方法详见《开发者指南》中“GUC参数说明”章节。

     • 至少包含上述四类字符中的三类。
     • 不能和用户名、用户名倒写相同，本要求为非大小写敏感。
     • 不能和当前密码、当前密码的倒写相同。
     • 不能是弱口令。
       • 弱口令指的是强度较低，容易被破解的密码，对于不同的用户或群体，弱口令的定义可能会有所区别，用户需自己添加定制化的弱口令。
       • 弱口令字典中的口令存放在gs_global_config系统表中，当创建用户、修改用户需要设置密码时，将会把用户设置口令和弱口令字典中存放的口令进行对比，如果命中，则会提示用户该口令为弱口令，设置密码失败。
       • 弱口令字典默认为空，用户通过以下语法可以对弱口令字典进行增加和删除，示例如下：

         CREATE WEAK PASSWORD DICTIONARY WITH VALUES ('password1'), ('password2');

         DROP WEAK PASSWORD DICTIONARY;

   • 密码重用

     用户修改密码时，只有超过不可重用天数（password_reuse_time）或不可重用次数（password_reuse_max）的密码才可以使用。参数配置说明如表2所示。

     

     不可重用天数默认值为60天，不可重用次数默认值是0。这两个参数值越大越安全，但是在使用过程中会带来不便，其默认值符合安全标准，用户可以根据需要重新设置参数，提高安全等级。

     配置password_reuse_time参数。

     配置password_reuse_max参数。

   • 密码有效期限

     数据库用户的密码都有密码有效期（password_effect_time），当达到密码到期提醒天数（password_notify_time）时，系统会在用户登录数据库时提示用户修改密码。

     

     考虑到数据库使用特殊性及业务连续性，密码过期后用户还可以登录数据库，但是每次登录都会提示修改密码，直至修改为止。

     配置password_effect_time参数。

     配置password_notify_time参数。

   • 密码修改
     • 在安装数据库时，会新建一个和初始化用户重名的操作系统用户，为了保证帐户安全，请定期修改操作系统用户的密码。
       以修改用户user1密码为例，命令格式如下：

       passwd user1

       根据提示信息完成修改密码操作。

     • 建议系统管理员和普通用户都要定期修改自己的帐户密码，避免帐户密码被非法窃取。

       以修改用户user1密码为例，以系统管理员用户连接数据库并执行如下命令：

       1 2	openGauss=# ALTER USER user1 IDENTIFIED BY "1234@abc" REPLACE "5678@def"; ALTER ROLE

       

       1234@abc、5678@def分别代表用户user1的新密码和原始密码，这些密码要符合规则，否则会执行失败。

     • 管理员可以修改自己的或者其他帐户的密码。通过修改其他帐户的密码，解决用户密码遗失所造成无法登录的问题。

       以修改用户joe帐户密码为例，命令格式如下：

       1 2	openGauss=# ALTER USER joe IDENTIFIED BY "abc@1234"; ALTER ROLE

     

     • 系统管理员之间不允许互相修改对方密码。
     • 系统管理员可以修改普通用户密码且不需要用户原密码。
     • 系统管理员修改自己密码但需要管理员原密码。
   • 密码验证

     设置当前会话的用户和角色时，需要验证密码。如果输入密码与用户的存储密码不一致，则会报错。

     以设置用户joe为例，命令格式如下：

     1 2	openGauss=# SET ROLE joe PASSWORD "abc@1234"; ERROR: Invalid username/password,set role denied.

   表1 特殊字符

   编号	字符	编号	字符	编号	字符	编号	字符
   1	~	9	*	17	|	25	<
   2	！	10	(	18	[	26	.
   3	@	11	)	19	{	27	>
   4	#	12	-	20	}	28	/
   5	$	13	_	21	]	29	？
   6	%	14	=	22	；	-	-
   7	^	15	+	23	：	-	-
   8	&	16	\	24	，	-	-

   表2 不可重用天数和不可重用次数参数说明

   参数	取值范围	配置说明
   不可重用天数（password_reuse_time）	正数或0，其中整数部分表示天数，小数部分可以换算成时，分，秒。 默认值为60。	如果参数变小，则后续修改密码按新的参数进行检查。 如果参数变大（比如由a变大为b），因为b天之前的历史密码可能已经删除，所以b天之前的密码仍有可能被重用。则后续修改密码按新的参数进行检查。 说明： 时间以绝对时间为准，历史密码记录的都是当时的时间，不识别时间的修改。
   不可重用次数（password_reuse_max）	正整数或0。 默认值为0，表示不检查重用次数。	如果参数变小，则后续修改密码按新的参数进行检查。 如果参数变大（比如由a变大为b），因为b次之前的历史密码可能已经删除，所以b次之前的密码仍有可能被重用。则后续修改密码按新的参数进行检查。

5. 设置用户密码失效。

   具有CREATEROLE权限的用户在创建用户时可以强制用户密码失效，新用户首次登陆数据库后需要修改密码才允许执行其他查询操作，命令格式如下：

   1 2	openGauss=# CREATE USER joe PASSWORD "abc@1234" EXPIRED; CREATE ROLE

   具有CREATEROLE权限的用户可以强制用户密码失效或者强制修改密码且失效，命令格式如下：

   1 2	openGauss=# ALTER USER joe PASSWORD EXPIRED; ALTER ROLE

   1 2	openGauss=# ALTER USER joe PASSWORD "abc@2345" EXPIRED; ALTER ROLE

   

   • 密码失效的用户登录数据库后，当执行简单查询或者扩展查询时，会提示用户修改密码。修改密码后可以正常执行语句。
   • 只有初始用户、系统管理员（sysadmin）或拥有创建用户（CREATEROLE）权限的用户才可以设置用户密码失效，其中系统管理员也可以设置自己或其他系统管理员密码失效。不允许设置初始用户密码失效。