ITPub博客

GaussDB100支持对数据库进行安全加固配置。数据库禁止在root用户下运行。设置数据库连接管理用户、角色和权限设置用户安全策略设置数据库审计错误报告和日志设置

配置说明：如果使用SSL连接，需要在数据库服务器端配置SSL相关证书，需要设置SSL证书的访问权限，其中私钥文件的访问权限建议设置为本用户只读。推荐值：0400检查方法：exportGSDB_USER=install_userexportGSDB_GROUP=install_groupfind${G

配置说明：DataDir/cfg/zengine.ini文件存储数据库连接的配置信息。其中DataDir目录是集群CN和DN的home目录，可通过gs_om-tstatus命令查询。配置方法：chmod0600DataDir/cfg/zengine.ini推荐值：0600检查方法：exportGAU

配置说明：data目录位于DataDir目录（集群CN和DN的home目录）下，存储用户数据文件。DataDir目录可通过gs_om-tstatus命令查询。配置方法：chmod0700DataDir/data推荐值：0700检查方法：exportGAUSSUSER=install_userexpo

配置说明：{GAUSS_HOME}/bin目录存储集群的二进制文件。配置方法：chmod0700${GAUSS_HOME}/bin推荐值：0700检查方法：find${GAUSS_HOME}/bin-prune-perm/g=rwx,o=rwx预期结果：空风险等级：中

配置说明：{GAUSS_HOME}/lib和{GAUSS_HOME}/add-ons目录存储GaussDB100的共享组件。配置方法：chmod0700${GAUSS_HOME}/libchmod0700${GAUSS_HOME}/add-ons推荐值：0700检查方法：find${GAUSS_HO

配置说明：CN和DN的home目录在安装集群时指定，在集群状态中显示为DataDir。每个CN和DN的home目录均不相同，在进行配置前可使用gs_om-tstatus命令查询每个CN和DN的home目录。该配置项为集群环境的安全配置项。配置方法：chmod0700DataDir推荐值：0700检查

操作系统中GaussDB100的部分程序目录和文件一旦遭受非法用户恶意篡改或破坏，将会对客户的网络安全造成威胁，因此需要限制文件和目录访问权限，只允许通过接入认证的客户端访问，以保证文件和目录在使用过程中的安全性。限制文件和目录访问权限时，需要以root用户登录主机。

配置说明：如果进程最大文件打开数太小，当数据库高并发且同时打开过多的数据文件时，该数值可能会超过最大文件打开数上限，从而导致SQL操作失败，因此需要配置合适的进程最大文件打开数。配置方法：以root用户运行下述命令修改进程最大文件打开数。执行命令后，需重新登录操作系统，该配置才会生效。echo"*s

配置说明：运行数据库的OS帐号拥有所有数据库文件的访问权限，一旦用户密码信息泄露则对数据库服务器有较大威胁，关闭其远程登录权限，可提高数据库安全性。配置方法：修改运行数据库的OS帐号（以omm为例）的shell类型为/sbin/nologin。usermodomm-s/sbin/nologin推荐值

配置说明：将rp_filter参数设置为1，可以对服务器每个进来的数据包，校验其反向路径是否是最佳路径。如果反向路径非最佳路径，则直接丢弃该数据包，这样可以有效防止服务器遭受IP欺骗攻击。配置方法：以root用户运行sysctl-a命令查询服务器所有接口的rp_filter参数配置。sysctl-a

配置说明：SSH（SecureShell）是建立在应用层和传输层基础上的安全协议，专为远程登录会话和其他网络服务提供安全的传输环境。使用SSH协议可以防止进行远程管理时信息泄露，因此需要在/etc/ssh/sshd_config文件中将参数Protocol配置为本地环境中符合安全要求的值。配置方法：

此小节内容仅支持在root用户下执行。配置安全SSH协议配置服务器防止IP欺骗攻击关闭运行数据库的OS帐号远程登录权限配置进程最大文件打开数

GaussDB100支持对运行数据库的主机操作系统进行安全加固配置。变量说明对GaussDB100进行安全配置时会使用一些变量，变量含义请参见表1，变量的取值需要根据实际环境进行设置。表1变量参数说明变量说明GAUSSHOMEGaussDB100的安装目录GAUSSUSER安装GaussDB100的

数据库运行过程中会产生大量运行日志，占用大量的磁盘空间，建议清理过期日志文件，只保留一个月的日志。ETCD和CM日志的清理机制ETCD日志位于$GAUSSLOG/etcd目录下，CM日志位于$GAUSSLOG/cm目录下。ETCD日志和CM日志的当前日志文件最大为16MB，自成功安装集群的次日起，C

数据库运行时，某些操作在执行过程中可能会出现错误，数据库依然能够运行。但是此时数据库中的数据可能已经发生不一致的情况。建议按月检查数据库运行日志，及时发现隐患。运行日志如果集群在运行时发生故障，可以通过这些系统日志及时定位故障发生的原因，根据日志内容制定恢复集群的方法。日志目录日志默认放在$GAUS

GaussDB100支持配置部分日志的日志大小、日志备份文件个数、日志权限、日志级别，并支持日志删除和自动恢复。详细介绍可以通过日志章节了解修改日志的属性。但修改日志参数需要重启数据库生效，请谨慎使用。设置日志参数日志参数介绍用户可设置控制日志的参数取值，以指定数据库系统记录的日志类型。_LOG_L

在数据库运行过程中，会产生大量用于数据库日常维护的运行、审计、DEBUG、告警等日志。在数据库发生故障时，可以使用这些日志进行问题定位和数据库恢复的操作。GaussDB100有以下类型的日志：OM日志OM审计日志：仅对扩容、升级、节点替换、gs_gucZenith、互信以及gs_checkos模块记

恢复数据的详细操作请参见恢复命令。

操作场景执行集群备份任务可用于集群数据库日常备份，确保集群的数据安全。支持备份集群至磁盘和NBU。操作步骤登录DatabaseManager。在页面下方“所有集群”区域，单击待查看集群的名称，进入“集群管理>状态概览”界面。在左侧导航选择“集群管理>操作>集群备份”。进入备份任务管