Sur PostgreSQL, pour obtenir les permissions et attributs d’un autre rôle, on peut utiliser SET SESSION AUTHORIZATION ou SET ROLE. Si on est autorisé à le faire, le résultat semble être le même : on se fait passer pour le rôle, mais il y a quelques subtilités. ...

Patroni ne gère que le service PostgreSQL en pilotant la réplication. Les applications doivent déterminer quelle est l’instance disponible en écriture et quelle est la ou les instances en lecture seule. Pour fournir un point d’accès unique, sous la forme d’une adresse IP virtuelle, il faut ajouter un service ou mécanisme supplémentaire. Keepalived fournit ce service, il est également capable d’équilibrer les connexions entre plusieurs instances. Keepalived est un logiciel de haute-disponibilité et d’équilibrage de charge reposant sur le noyau Linux....

Patroni ne gère que le service PostgreSQL en pilotant la réplication. Il ne fournit volontairement aucun moyen d’accès pour les applications. Elles doivent pourtant déterminer quel serveur PostgreSQL est accessible en écriture, pour cela une solution est de placer une adresse IP supplémentaire sur ce serveur en écriture qui est déplacée automatique en cas de bascule. Il faut donc ajouter un service supplémentaire à l’architecture pour gérer la placement de cette adresse IP, généralement appelée, IP virtuelle, VIP, ou IP flottante : Keepalived permet de le faire....

CFSSL est l’outil de gestion de certificats TLS de CloudFlare, son principal avantage est de pouvoir créer des certificats en utilisant une configuration au format JSON bien plus facile à appréhender qu’OpenSSL. ...

Ce post se veut une mise à jour du post précédent sur le sujet. En effet, le module SELinux, les commandes utilisées ont évolué avec l’adoption de systemd. Les principes restent les mêmes. ...

Le langage Go est de plus en plus présent, on peut installer son compilateur et suite d’outil à partir des packages de sa distribution, mais le plus simple pour avoir une version la plus à jour possible est d’utiliser les binaires compilés fournis sur le site officiel. La version du package golang-go est trop ancienne dans Debian stable (1.11), je l’ai donc installé de la façon suivante. ...

Cloud Init permet de configurer des machines virtuelles au boot, en utilissant des méta données provenant de la plateforme ou tourne la VM (AWS, Azure, GCP, KVM Local, etc). Pour une installation sur KVM avec libvirt, il faut utiliser le module NoCloud : Installer le système dans un KVM, avec virt-manager et une image ISO Installer le paquet cloud-init (et le paquet sudo pour que le reste fonctionne) # yum install cloud-init sudo Eteindre la VM Créer un répertoire de travail et s’y déplacer Créer les 3 fichiers : user-data : contient la configuration pour ajouter son user, sa clé SSH, configurer sudo, configurer le mot de passe root meta-data : contient la configuration de la machine, le hostname, etc network-config : contient la configuration du réseau Créer l’image ISO : $ genisoimage -output cloudinit_la_vm.iso -volid cidata -joliet -rock user-data meta-data network-config Attacher l’image ISO Démarrer la VM ...

Avec pgBouncer 1.6 sont arrivés deux nouveaux paramètres, auth_user et auth_query, qui permettent de faciliter la gestion du fichier des utilisateurs. Le fichier des utilisateurs contient les couples utilisateur / mot de passe hashé pour s’authentifier à la place de l’utilisateur final sur le serveur PostgreSQL. Il y a deux problèmes majeurs avec ce fichier utilisateur : son maintien fastidieux et le risque de collision entre noms de roles identiques mais avec des mots de passe différents si le même pgBoucner accède à plusieurs instances PostgreSQL. ...

Un petit howto pour créer des certificats et les utiliser avec PostgreSQL et pgBouncer. ...