面试题：PostgreSQL软件目录结构管理中的权限设置与优化

Question

在PostgreSQL软件目录结构管理中，不同目录涉及不同的权限设置。请说明如何合理设置各目录权限，以保障数据安全和数据库服务正常运行，并阐述权限设置不当可能引发的问题及优化措施。

Answer 1

合理设置各目录权限

1. 数据目录：
   • 权限设置：通常将数据目录（一般为 PGDATA 环境变量指定的目录）的所有者设为运行PostgreSQL服务的用户（例如 postgres 用户），权限设为 700。这样只有该用户能读取、写入和执行该目录及其子目录下的文件，极大程度保障数据安全。
   • 命令示例（假设 PGDATA 目录为 /var/lib/postgresql/data 且运行用户为 postgres）：

   chown -R postgres:postgres /var/lib/postgresql/data
   chmod -R 700 /var/lib/postgresql/data
   

2. 日志目录：
   • 权限设置：所有者同样设为运行PostgreSQL服务的用户，权限可设为 750。允许运行用户完全操作日志文件，同时同组用户有读取和执行权限，方便查看日志（例如数据库管理员组可能需要查看日志）。
   • 命令示例（假设日志目录为 /var/log/postgresql 且运行用户为 postgres，同组为 postgres 组）：

   chown -R postgres:postgres /var/log/postgresql
   chmod -R 750 /var/log/postgresql
   

3. 二进制文件目录：
   • 权限设置：所有者设为安装PostgreSQL的用户（一般为 root），权限设为 755。普通用户可以执行二进制文件，但不能修改，保证二进制文件的完整性和安全性。
   • 例如PostgreSQL安装在 /usr/pgsql - 13/bin 目录：

   chown -R root:root /usr/pgsql - 13/bin
   chmod -R 755 /usr/pgsql - 13/bin
   

权限设置不当引发的问题

1. 数据目录权限不当：
   • 权限过大：若数据目录权限设为 777，任何用户都可以读写数据文件，这将导致数据极易被篡改或泄露，严重威胁数据库安全。例如，恶意用户可能直接修改数据库中的敏感信息，如用户密码等。
   • 权限过小：若权限设为 400 等，运行PostgreSQL服务的用户无法写入数据，会导致数据库无法正常写入新数据、创建新表等操作，服务运行异常。
2. 日志目录权限不当：
   • 权限过大：若日志目录权限为 777，任何用户都能随意修改日志文件，可能导致日志记录被篡改，影响故障排查和安全审计。例如，恶意用户删除关键的错误日志或入侵记录，使管理员难以发现安全问题。
   • 权限过小：若运行PostgreSQL服务的用户没有写权限（如权限为 400），数据库无法记录日志，不利于故障诊断和性能分析。当数据库出现问题时，由于没有日志记录，很难确定问题的原因。
3. 二进制文件目录权限不当：
   • 权限过大：若二进制文件目录权限为 777，普通用户可以修改二进制文件，可能导致程序被恶意篡改，影响数据库服务的稳定性和安全性。例如，恶意用户修改PostgreSQL的启动脚本或核心二进制文件，使数据库服务无法正常启动或运行异常。
   • 权限过小：若运行PostgreSQL服务的用户没有执行权限（如权限为 400），数据库服务无法启动，因为无法执行相关的二进制文件。

优化措施

1. 定期检查权限：通过自动化脚本定期检查各目录权限是否符合设定。例如，编写一个 bash 脚本：

   #!/bin/bash
   data_dir="/var/lib/postgresql/data"
   log_dir="/var/log/postgresql"
   bin_dir="/usr/pgsql - 13/bin"
   
   if [ "$(stat -c %a $data_dir)" != "700" ] || [ "$(stat -c %U $data_dir)" != "postgres" ]; then
       echo "Data directory permissions or owner are incorrect"
   fi
   
   if [ "$(stat -c %a $log_dir)" != "750" ] || [ "$(stat -c %U $log_dir)" != "postgres" ]; then
       echo "Log directory permissions or owner are incorrect"
   fi
   
   if [ "$(stat -c %a $bin_dir)" != "755" ] || [ "$(stat -c %U $bin_dir)" != "root" ]; then
       echo "Binary directory permissions or owner are incorrect"
   fi
   

   然后使用 crontab 定时运行该脚本，如每天凌晨2点检查：

   0 2 * * * /path/to/check_permissions.sh
   

2. 基于角色的权限管理：在操作系统层面，可以采用基于角色的权限管理（RBAC）。例如，将数据库管理员添加到特定组，赋予该组对日志目录的读取权限，这样既保证了安全，又方便管理员查看日志。
3. 文件系统监控：使用文件系统监控工具（如 inotifywait），实时监控关键目录（如数据目录、二进制文件目录）的权限变化。一旦权限被非法修改，立即发出警报，以便管理员及时处理。例如：

   inotifywait -m -e modify,delete,create /var/lib/postgresql/data -q --format '%w%f' | while read file; do
       echo "Data directory file $file has been modified, check permissions" | mail -s "PostgreSQL Data Dir Alert" [e-mail]
   done