配置和使用数据库服务器

流程

1. 将 CA 和服务器证书存储在 /etc/pki/tls/certs/ 目录中：

   # mv <path>/server.example.com.crt.pem /etc/pki/tls/certs/
   # mv <path>/ca.crt.pem /etc/pki/tls/certs/

2. 设置 CA 和服务器证书的权限，使 MariaDB 服务器能够读取文件：

   # chmod 644 /etc/pki/tls/certs/server.example.com.crt.pem /etc/pki/tls/certs/ca.crt.pem

   由于证书是建立安全连接前通信的一部分，因此任何客户端都可以在不需要身份验证的情况下检索它们。因此，您不需要对 CA 和服务器证书文件设置严格的权限。

3. 将服务器的私钥存储在 /etc/pki/tls/private/ 目录中：

   # mv <path>/server.example.com.key.pem /etc/pki/tls/private/

4. 对服务器的私钥设置安全权限：

   # chmod 640 /etc/pki/tls/private/server.example.com.key.pem
   # chgrp mysql /etc/pki/tls/private/server.example.com.key.pem

   如果未授权的用户可以访问私钥，因此到 MariaDB 服务器的连接不再是安全的。

5. 恢复 SELinux 上下文：

   #  restorecon -Rv /etc/pki/tls/

流程

1. 创建 /etc/my.cnf.d/mariadb-server-tls.cnf 文件：

   1. 添加以下内容来配置到私钥、服务器和 CA 证书的路径：

      [mariadb]
      ssl_key = /etc/pki/tls/private/server.example.com.key.pem
      ssl_cert = /etc/pki/tls/certs/server.example.com.crt.pem
      ssl_ca = /etc/pki/tls/certs/ca.crt.pem

   2. 如果您有一个证书撤销列表(CRL)，则将 MariaDB 服务器配置为使用它：

      ssl_crl = /etc/pki/tls/certs/example.crl.pem

   3. 可选：拒绝未加密的连接尝试。要启用此功能，请附加：

      require_secure_transport = on

   4. 可选：设置服务器应支持的 TLS 版本。例如，要支持 TLS 1.2 和 TLS 1.3，请附加：

      tls_version = TLSv1.2,TLSv1.3

      默认情况下，服务器支持 TLS 1.1、TLS 1.2 和 TLS 1.3。

2. 重启 mariadb 服务：

   # systemctl restart mariadb.service

1. 验证 MariaDB 现在是否启用了 TLS 加密：

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'have_ssl';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | have_ssl      | YES             |
   +---------------+-----------------+

   如果 have_ssl 变量设置为 yes，则启用 TLS 加密。

2. 如果您将 MariaDB 服务配置为只支持特定的 TLS 版本，则显示 tls_version 变量：

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'tls_version';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | tls_version   | TLSv1.2,TLSv1.3 |
   +---------------+-----------------+

流程

1. 以管理员用户身份连接到 MariaDB 服务器：

   # mysql -u root -p -h server.example.com

   如果您的管理用户没有远程访问服务器的权限，请在 MariaDB 服务器上执行命令，并连接到 localhost。

2. 使用 REQUIRE SSL 子句强制用户必须使用 TLS 加密连接进行连接：

   MariaDB [(none)]> ALTER USER 'example'@'%' REQUIRE SSL;

验证

1. 使用 TLS 加密，以 example 用户身份连接到服务器：

   # mysql -u example -p -h server.example.com --ssl
   ...
   MariaDB [(none)]>

   如果没有显示错误，且您可以访问交互式 MariaDB 控制台，则与 TLS 的连接成功。

2. 尝试以禁用 TLS 的 example 用户身份进行连接：

   # mysql -u example -p -h server.example.com --skip-ssl
   ERROR 1045 (28000): Access denied for user 'example'@'server.example.com' (using password: YES)

   服务器拒绝登录尝试，因为此用户需要 TLS，但被禁用了(--skip-ssl)。

流程

1. 如果 RHEL 不信任发布服务器证书的 CA：

   1. 将 CA 证书复制到 /etc/pki/ca-trust/source/anchors/ 目录中：

      # cp <path>/ca.crt.pem /etc/pki/ca-trust/source/anchors/

   2. 设置允许所有用户读取 CA 证书文件的权限：

      # chmod 644 /etc/pki/ca-trust/source/anchors/ca.crt.pem

   3. 重建 CA 信任数据库：

      # update-ca-trust

2. 使用以下内容创建 /etc/my.cnf.d/mariadb-client-tls.cnf 文件：

   [client-mariadb]
   ssl
   ssl-verify-server-cert

   这些设置定义 MariaDB 客户端使用 TLS 加密(ssl)，并且客户端将主机名与服务器证书中的 CN(ssl-verify-server-cert)进行比较。

流程

1. 运行 mariabackup 命令：

   • 要恢复数据并保留原始备份文件，请使用 --copy-back 选项：

     $ mariabackup --copy-back --target-dir=/var/mariadb/backup/

   • 要恢复数据并删除原始备份文件，请使用 --move-back 选项：

     $ mariabackup --move-back --target-dir=/var/mariadb/backup/

2. 修复文件权限。

   恢复数据库时，Mariabackup 会保留备份的文件和目录特权。但是，Mariabackup 以恢复数据库的用户和组的身份将文件写入磁盘。恢复备份后，您可能需要调整数据目录的所有者，以匹配 MariaDB 服务器的用户和组，通常两者都为 mysql。

   例如，要递归地将文件的所有权改为 mysql 用户和组：

   # chown -R mysql:mysql /var/lib/mysql/

3. 启动 mariadb 服务：

   # systemctl start mariadb.service

流程

1. 停止 mariadb 服务：

   # systemctl stop mariadb.service

2. 将数据文件复制到所需位置：

   # cp -r /var/lib/mysql /backup-location

3. 可选：将配置文件复制到所需位置：

   # cp -r /etc/my.cnf /etc/my.cnf.d /backup-location/configuration

4. 可选：将日志文件复制到所需位置：

   # cp /var/log/mariadb/* /backup-location/logs

5. 启动 mariadb 服务：

   # systemctl start mariadb.service

6. 将备份位置的备份数据加载到 /var/lib/mysql 目录时，请确保 mysql:mysql 是 /var/lib/mysql 中所有数据的所有者：

   # chown -R mysql:mysql /var/lib/mysql

流程

1. 确定在 RHEL 9 系统中安装了 mariadb-server 软件包：

   # dnf install mariadb-server

2. 确保 mariadb 服务在复制数据时没有在源和目标系统上运行：

   # systemctl stop mariadb.service

3. 将源位置的数据复制到 RHEL 9 目标系统的 /var/lib/mysql/ 目录中。

4. 对目标系统上复制的文件设置适当的权限和 SELinux 上下文：

   # restorecon -vr /var/lib/mysql

5. 确保 mysql:mysql 是 /var/lib/mysql 目录中所有数据的所有者：

   # chown -R mysql:mysql /var/lib/mysql

6. 调整配置，以便位于 /etc/my.cnf.d/ 中的选项文件只包含对 MariaDB 10.5 有效的选项。详情请参阅 MariaDB 10.4 和 MariaDB 10.5 的上游文档。

7. 在目标系统中启动 MariaDB 服务器。

   • 在升级独立运行的数据库时：

     # systemctl start mariadb.service

   • 在升级 Galera 集群节点时：

     # galera_new_cluster

     mariadb 服务将自动启动。

8. 执行 mariadb-upgrade 工具来检查和修复内部表。

   • 在升级独立运行的数据库时：

     $ mariadb-upgrade

   • 在升级 Galera 集群节点时：

     $ mariadb-upgrade --skip-write-binlog

流程

1. 停止 MariaDB 服务器：

   # systemctl stop mariadb.service

2. 从非模块化 MariaDB 10.5 切换到模块化 MariaDB 10.11 ：

   # dnf module switch-to mariadb:10.11

3. 调整配置，以便位于 /etc/my.cnf.d/ 中的选项文件只包含对 MariaDB 10.11 有效的选项。详情请查看 MariaDB 10.6 和 MariaDB 10.11 的上游文档。

4. 启动 MariaDB 服务器。

   • 在升级独立运行的数据库时：

     # systemctl start mariadb.service

   • 在升级 Galera 集群节点时：

     # galera_new_cluster

     mariadb 服务将自动启动。

5. 执行 mariadb-upgrade 工具来检查和修复内部表。

   • 在升级独立运行的数据库时：

     # mariadb-upgrade

   • 在升级 Galera 集群节点时：

     # mariadb-upgrade --skip-write-binlog

流程

1. 安装 MariaDB Galera Cluster 软件包：

   # dnf install mariadb-server-galera

   因此，以下软件包会与依赖项一起安装：

   • mariadb-server-galera
   • mariadb-server

   • galera

     有关构建 MariaDB Galera Cluster 的软件包要求的更多信息，请参阅 构建 MariaDB 集群的组件。

2. 在系统第一次添加到集群之前，更新 MariaDB 服务器复制配置。默认配置在 /etc/my.cnf.d/galera.cnf 文件中。在部署 MariaDB Galera 集群 之前，请将所有节点上的 /etc/my.cnf.d/galera.cnf 文件中的 wsrep_cluster_address 选项设置为以以下字符串开头：

   gcomm://

   • 对于初始节点，可以将 wsrep_cluster_address 设置为空列表：

     wsrep_cluster_address="gcomm://"

   • 对于所有其他节点，将 wsrep_cluster_address 设置为包含已属于正在运行的集群的一部分的任何节点的地址。例如：

     wsrep_cluster_address="gcomm://10.0.0.10"

     有关如何设置 Galera 集群地址的更多信息，请参阅 Galera 集群地址。

3. 通过在 /etc/my.cnf.d/galera.cnf 配置文件中设置 wsrep_on=1 选项来在每个节点上启用 wsrep API。

4. 使用 TLS 密钥和证书将 wsrep_provider_options 变量添加到 Galera 配置文件中。例如：

   wsrep_provider_options="socket.ssl_cert=/etc/pki/tls/certs/source.crt;socket.ssl_key=/etc/pki/tls/private/source.key;socket.ssl_ca=/etc/pki/tls/certs/ca.crt”

5. 通过在该节点上运行以下 wrapper 来引导新集群的第一个节点：

   # galera_new_cluster

   这个打包程序可确保 MariaDB 服务器守护进程(mariadbd)通过 --wsrep-new-cluster 选项运行。此选项提供了没有要连接的现有群集的信息。因此，节点会创建一个新的 UUID 来识别新集群。

   注意

   mariadb 服务支持 systemd 方法来与多个 MariaDB 服务器进程进行交互。因此，在有多个 MariaDB 服务器运行的情况下，您可以通过将实例名称指定为后缀来引导特定的实例：

   # galera_new_cluster mariadb@node1

6. 在每个节点上运行以下命令将其他节点连接到集群：

   # systemctl start mariadb.service

   因此，节点连接到集群，并将自己与集群的状态同步。

流程

1. 将 CA 和服务器证书存储在 /etc/pki/tls/certs/ 目录中：

   # mv <path>/server.example.com.crt.pem /etc/pki/tls/certs/
   # mv <path>/ca.crt.pem /etc/pki/tls/certs/

2. 在 CA 和服务器证书上设置权限，以使 MySQL 服务器能够读取文件：

   # chmod 644 /etc/pki/tls/certs/server.example.com.crt.pem /etc/pki/tls/certs/ca.crt.pem

   由于证书是建立安全连接前通信的一部分，因此任何客户端都可以在不需要身份验证的情况下检索它们。因此，您不需要对 CA 和服务器证书文件设置严格的权限。

3. 将服务器的私钥存储在 /etc/pki/tls/private/ 目录中：

   # mv <path>/server.example.com.key.pem /etc/pki/tls/private/

4. 对服务器的私钥设置安全权限：

   # chmod 640 /etc/pki/tls/private/server.example.com.key.pem
   # chgrp mysql /etc/pki/tls/private/server.example.com.key.pem

   如果未授权的用户可以访问私钥，则到 MySQL 服务器的连接不再是安全的。

5. 恢复 SELinux 上下文：

   # restorecon -Rv /etc/pki/tls/

流程

1. 创建 /etc/my.cnf.d/mysql-server-tls.cnf 文件：

   1. 添加以下内容来配置到私钥、服务器和 CA 证书的路径：

      [mysqld]
      ssl_key = /etc/pki/tls/private/server.example.com.key.pem
      ssl_cert = /etc/pki/tls/certs/server.example.com.crt.pem
      ssl_ca = /etc/pki/tls/certs/ca.crt.pem

   2. 如果您有证书撤销列表(CRL)，请将 MySQL 服务器配置为使用它：

      ssl_crl = /etc/pki/tls/certs/example.crl.pem

   3. 可选：拒绝未加密的连接尝试。要启用此功能，请附加：

      require_secure_transport = on

   4. 可选：设置服务器应支持的 TLS 版本。例如，要支持 TLS 1.2 和 TLS 1.3，请附加：

      tls_version = TLSv1.2,TLSv1.3

      默认情况下，服务器支持 TLS 1.1、TLS 1.2 和 TLS 1.3。

2. 重启 mysqld 服务：

   # systemctl restart mysqld.service

1. 验证 MySQL 现在是否启用了 TLS 加密：

   # mysql -u root -p -h <MySQL_server_hostname> -e "SHOW session status LIKE 'Ssl_cipher';"
   +---------------+------------------------+
   | Variable_name | Value                  |
   +---------------+------------------------+
   | Ssl_cipher    | TLS_AES_256_GCM_SHA384 |
   +---------------+------------------------+

2. 如果您将 MySQL 服务器配置为只支持特定的 TLS 版本，请显示 tls_version 变量：

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'tls_version';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | tls_version   | TLSv1.2,TLSv1.3 |
   +---------------+-----------------+

3. 验证服务器是否使用正确的 CA 证书、服务器证书和私钥文件：

   # mysql -u root -e "SHOW GLOBAL VARIABLES WHERE Variable_name REGEXP '^ssl_ca|^ssl_cert|^ssl_key';"
   +-----------------+-------------------------------------------------+
   | Variable_name   | Value                                           |
   +-----------------+-------------------------------------------------+
   | ssl_ca          | /etc/pki/tls/certs/ca.crt.pem                   |
   | ssl_capath      |                                                 |
   | ssl_cert        | /etc/pki/tls/certs/server.example.com.crt.pem   |
   | ssl_key         | /etc/pki/tls/private/server.example.com.key.pem |
   +-----------------+-------------------------------------------------+

流程

1. 以管理用户身份连接到 MySQL 服务器：

   # mysql -u root -p -h server.example.com

   如果您的管理用户没有远程访问服务器的权限，请在 MySQL 服务器上执行命令并连接到 localhost。

2. 使用 REQUIRE SSL 子句强制用户必须使用 TLS 加密连接进行连接：

   MySQL [(none)]> ALTER USER 'example'@'%' REQUIRE SSL;

验证

1. 使用 TLS 加密，以 example 用户身份连接到服务器：

   # mysql -u example -p -h server.example.com
   ...
   MySQL [(none)]>

   如果没有显示错误，且您可以访问交互式 MySQL 控制台，则与 TLS 的连接成功。

   默认情况下，如果服务器提供，客户端会自动使用 TLS 加密。因此，--ssl-ca=ca.crt.pem 和 --ssl-mode=VERIFY_IDENTITY 选项不是必需的，但提高了安全性，因为使用这些选项，客户端可以验证服务器的身份。

2. 尝试以禁用 TLS 的 example 用户身份进行连接：

   # mysql -u example -p -h server.example.com --ssl-mode=DISABLED
   ERROR 1045 (28000): Access denied for user 'example'@'server.example.com' (using password: YES)

   服务器拒绝登录尝试，因为此用户需要 TLS，但禁用了(--ssl-mode=DISABLED)。

流程

1. 停止 mysqld 服务：

   # systemctl stop mysqld.service

2. 将数据文件复制到所需位置：

   # cp -r /var/lib/mysql /backup-location

3. 可选：将配置文件复制到所需位置：

   # cp -r /etc/my.cnf /etc/my.cnf.d /backup-location/configuration

4. 可选：将日志文件复制到所需位置：

   # cp /var/log/mysql/* /backup-location/logs

5. 启动 mysqld 服务：

   # systemctl start mysqld.service

6. 将备份位置的备份数据加载到 /var/lib/mysql 目录时，请确保 mysql:mysql 是 /var/lib/mysql 中所有数据的所有者：

   # chown -R mysql:mysql /var/lib/mysql

流程

1. 包括 /etc/my.cnf.d/mysql-server.cnf 文件中 [mysqld] 部分下的以下选项：

   • bind-address=source_ip_adress

     从副本到源的连接需要这个选项。

   • server-id=id

     id 必须是唯一的。

   • log_bin=path_to_source_server_log

     此选项定义 MySQL 源服务器的二进制日志文件的路径。例如：log_bin=/var/log/mysql/mysql-bin.log。

   • gtid_mode=ON

     此选项在服务器上启用全局事务标识符(GTID)。

   • enforce-gtid-consistency=ON

     服务器通过仅允许执行可使用 GTID 进行安全记录的语句来强制实施 GTID 一致性。

   • 可选: binlog_do_db=db_name

     如果您只想复制所选的数据库，则使用这个选项。要复制多个所选的数据库，请分别指定每个数据库：

     binlog_do_db=db_name1
     binlog_do_db=db_name2
     binlog_do_db=db_name3

   • 可选: binlog_ignore_db=db_name

     使用此选项从复制中排除特定的数据库。

2. 重启 mysqld 服务：

   # systemctl restart mysqld.service

流程

1. 包括 /etc/my.cnf.d/mysql-server.cnf 文件中 [mysqld] 部分下的以下选项：

   • server-id=id

     id 必须是唯一的。

   • relay-log=path_to_replica_server_log

     中继日志是在复制过程中由 MySQL 副本服务器创建的一组日志文件。

   • log_bin=path_to_replica_sever_log

     此选项定义了 MySQL 副本服务器的二进制日志文件的路径。例如：log_bin=/var/log/mysql/mysql-bin.log。

     副本中不需要这个选项，但强烈建议使用。

   • gtid_mode=ON

     此选项在服务器上启用全局事务标识符(GTID)。

   • enforce-gtid-consistency=ON

     服务器通过仅允许执行可使用 GTID 进行安全记录的语句来强制实施 GTID 一致性。

   • log-replica-updates=ON

     这个选项可确保从源服务器接收的更新记录在副本的二进制日志中。

   • skip-replica-start=ON

     此选项可确保在副本服务器启动时不启动复制线程。

   • 可选: binlog_do_db=db_name

     如果您只想复制某些数据库，则使用这个选项。要复制多个数据库，请分别指定每个数据库：

     binlog_do_db=db_name1
     binlog_do_db=db_name2
     binlog_do_db=db_name3

   • 可选: binlog_ignore_db=db_name

     使用此选项从复制中排除特定的数据库。

2. 重启 mysqld 服务：

   # systemctl restart mysqld.service

流程

1. 创建复制用户：

   mysql> CREATE USER 'replication_user'@'replica_server_hostname' IDENTIFIED WITH mysql_native_password BY 'password';

2. 授予用户复制权限：

   mysql> GRANT REPLICATION SLAVE ON *.* TO 'replication_user'@'replica_server_hostname';

3. 重新载入 MySQL 数据库中的授权表：

   mysql> FLUSH PRIVILEGES;

4. 将源服务器设置为只读状态：

   mysql> SET @@GLOBAL.read_only = ON;

流程

1. 将副本服务器设置为只读状态：

   mysql> SET @@GLOBAL.read_only = ON;

2. 配置复制源：

   mysql> CHANGE REPLICATION SOURCE TO
          SOURCE_HOST='source_hostname',
          SOURCE_USER='replication_user',
          SOURCE_PASSWORD='password',
          SOURCE_AUTO_POSITION=1,
          SOURCE_SSL=1,
          SOURCE_SSL_CA='path_to_ca_on_source',
          SOURCE_SSL_CAPATH='path_to_directory_with_certificates',
          SOURCE_SSL_CERT='path_to_source_certificate',
          SOURCE_SSL_KEY='path_to_source_key';

3. 在 MySQL 副本服务器中启动副本线程：

   mysql> START REPLICA;

4. 在源和目标服务器上取消只读状态的设置：

   mysql> SET @@GLOBAL.read_only = OFF;

5. 可选：检查副本服务器的状态以进行调试：

   mysql> SHOW REPLICA STATUS\G;

   注意

   如果复制服务器启动或连接失败，您可以跳过 SHOW MASTER STATUS 命令的输出中显示的二进制日志文件位置后的某些事件。例如，从定义的位置跳过第一个事件：

   mysql> SET GLOBAL SQL_SLAVE_SKIP_COUNTER=1;

   尝试再次启动副本服务器。

6. 可选：停止副本服务器中的副本线程：

   mysql> STOP REPLICA;

流程

1. 在源服务器上创建一个示例数据库：

   mysql> CREATE DATABASE test_db_name;

2. 验证 test_db_name 数据库是否在副本服务器上进行复制。

3. 在源或副本服务器上执行以下命令，显示 MySQL 服务器的二进制日志文件的状态信息：

   mysql> SHOW MASTER STATUS;

   Executed_Gtid_Set 列，针对在源上执行的事务显示一组 GTID，它不能为空。

   注意

   当对副本服务器使用 SHOW REPLICA STATUS 时，Executed_Gtid_Set 行中会显示相同的 GTID 集合。

流程

1. 在 RHEL 9 系统中，安装 postgresql-server 和 postgresql-upgrade 软件包：

   # dnf install postgresql-server postgresql-upgrade

   另外，如果您在 RHEL 8 上使用了任何 PostgreSQL 服务器模块，那么也可以在 RHEL 9 系统上安装该模块的两个版本，分别针对 PostgreSQL 12 （作为 postgresql-upgrade 软件包安装）和 PostgreSQL 13 的目标版本（作为 postgresql-server 软件包安装）进行编译。如果您需要编译第三方PostgreSQL服务器模块，请根据postgresql-devel和postgresql-upgrade-devel软件包来构建它。

2. 检查以下项：

   • 基本配置：在 RHEL 9 系统中，检查您的服务器是否使用默认 /var/lib/pgsql/data 目录，且数据库已正确初始化并启用。此外，数据文件必须存储在 /usr/lib/systemd/system/postgresql.service 文件中提及的相同路径。
   • PostgreSQL 服务器：您的系统可以运行多个 PostgreSQL 服务器。确保所有这些服务器的数据目录都是独立处理的。
   • PostgreSQL 服务器模块：确保在 RHEL 8 中使用的 PostgreSQL 服务器模块也安装在 RHEL 9 系统中。请注意，插件安装在 /usr/lib64/pgsql/ 目录中。

3. 确保 postgresql 服务在复制数据时未在源和目标系统上运行。

   # systemctl stop postgresql.service

4. 将源位置中的数据库文件复制到 RHEL 9 系统上的 /var/lib/pgsql/data/ 目录中。

5. 以 PostgreSQL 用户身份运行以下命令来执行升级过程：

   # postgresql-setup --upgrade

   这会在后台启动 pg_upgrade 进程。

   在出现故障时，postgresql-setup 会提供一条说明性的错误消息。

6. 将之前的配置从 /var/lib/pgsql/data-old 复制到新集群。

   请注意，快速升级不会在较新的数据栈中重用之前的配置，配置是从零开始生成的。如果要手动组合旧配置和新配置，请使用数据目录中的 *.conf 文件。

7. 启动新的 PostgreSQL 服务器：

   # systemctl start postgresql.service

8. 分析新的数据库集群。

   • 对于 PostgreSQL 13 ：

     su postgres -c '~/analyze_new_cluster.sh'

   • 对于 PostgreSQL 15 或更高版本：

     su postgres -c 'vacuumdb --all --analyze-in-stages'

     注意

     您可能需要使用 ALTER COLLATION name REFRESH VERSION，请查看 上游文档 以了解详细信息。

9. 如果您希望新 PostgreSQL 服务器在引导时自动启动，请运行：

   # systemctl enable postgresql.service

流程

1. 在 RHEL 8 系统中，启动 PostgreSQL 10 服务器：

   # systemctl start postgresql.service

2. 在 RHEL 8 系统中，将所有数据库内容转储到 pgdump_file.sql 文件中：

   su - postgres -c "pg_dumpall > ~/pgdump_file.sql"

3. 确保正确转储数据库：

   su - postgres -c 'less "$HOME/pgdump_file.sql"'

   结果显示的转储的 sql 文件的路径为：/var/lib/pgsql/pgdump_file.sql。

4. 在 RHEL 9 系统中，安装 postgresql-server 软件包：

   # dnf install postgresql-server

   另外，如果您在 RHEL 8 中使用了任何 PostgreSQL 服务器模块，也需要在 RHEL 9 系统中安装它们。如果您需要编译第三方 PostgreSQL 服务器模块，请根据 postgresql-devel 软件包进行构建。

5. 在 RHEL 9 系统中，初始化新 PostgreSQL 服务器的数据目录：

   # postgresql-setup --initdb

6. 在 RHEL 9 系统中，将 pgdump_file.sql 复制到 PostgreSQL 主目录中，并检查是否已正确复制该文件：

   su - postgres -c 'test -e "$HOME/pgdump_file.sql" && echo exists'

7. 复制 RHEL 8 系统中的配置文件：

   su - postgres -c 'ls -1 $PGDATA/*.conf'

   要复制的配置文件包括：

   • /var/lib/pgsql/data/pg_hba.conf
   • /var/lib/pgsql/data/pg_ident.conf
   • /var/lib/pgsql/data/postgresql.conf

8. 在 RHEL 9 系统中，启动新的 PostgreSQL 服务器：

   # systemctl start postgresql.service

9. 在 RHEL 9 系统中，从转储的 sql 文件中导入数据：

   su - postgres -c 'psql -f ~/pgdump_file.sql postgres'

流程

1. 将您的敏感变量存储在一个加密文件中：

   1. 创建 vault ：

      $ ansible-vault create vault.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

   2. 在 ansible-vault create 命令打开编辑器后，以 <key>: <value> 格式输入敏感数据：

      pwd: <password>

   3. 保存更改，并关闭编辑器。Ansible 加密 vault 中的数据。

2. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Installing and configuring PostgreSQL
     hosts: managed-node-01.example.com
     vars_files:
       - vault.yml
     tasks:
       - name: Create directory for TLS certificate and key
         ansible.builtin.file:
           path: /etc/postgresql/
           state: directory
           mode: 755
   
       - name: Copy CA certificate
         ansible.builtin.copy:
           src: "~/{{ inventory_hostname }}.crt"
           dest: "/etc/postgresql/server.crt"
   
       - name: Copy private key
         ansible.builtin.copy:
           src: "~/{{ inventory_hostname }}.key"
           dest: "/etc/postgresql/server.key"
           mode: 0600
   
       - name: PostgreSQL with an existing private key and certificate
         ansible.builtin.include_role:
           name: rhel-system-roles.postgresql
         vars:
           postgresql_version: "16"
           postgresql_password: "{{ pwd }}"
           postgresql_ssl_enable: true
           postgresql_cert_name: "/etc/postgresql/server"
           postgresql_server_conf:
             listen_addresses: "'*'"
             password_encryption: scram-sha-256
           postgresql_pg_hba_conf:
             - type: local
               database: all
               user: all
               auth_method: scram-sha-256
             - type: hostssl
               database: all
               user: all
               address: '127.0.0.1/32'
               auth_method: scram-sha-256
             - type: hostssl
               database: all
               user: all
               address: '::1/128'
               auth_method: scram-sha-256
             - type: hostssl
               database: all
               user: all
               address: '192.0.2.0/24'
               auth_method: scram-sha-256
   
   
       - name: Open the PostgresQL port in firewalld
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - service: postgresql
               state: enabled

   示例 playbook 中指定的设置包括以下内容：

   postgresql_version: <version>

   设置要安装的 PostgreSQL 的版本。您可以设置的版本取决于受管节点上运行的 Red Hat Enterprise Linux 中提供的 PostgreSQL 版本。

   您无法通过更改 postgresql_version 变量并再次运行 playbook 来升级或降级 PostgreSQL。

   postgresql_password: <password>

   设置 postgres 数据库超级用户的密码。

   您无法通过更改 postgresql_password 变量并再次运行 playbook 来更改密码。

   postgresql_cert_name: <private_key_and_certificate_file>

   定义受管节点上没有 .crt 和 key 后缀的证书和私钥的路径和基础名称。在 PostgreSQL 配置过程中，角色会在 /var/lib/pgsql/data/ 目录中创建引用这些文件的符号链接。

   证书和私钥必须存在于受管节点本地。您可以将任务与 ansible.builtin.copy 模块一起使用，来将文件从控制节点传输到受管节点，如 playbook 中所示。

   postgresql_server_conf: <list_of_settings>

   定义角色应设置的 postgresql.conf 设置。角色将这些设置添加到 /etc/postgresql/system-roles.conf 文件中，并在 /var/lib/pgsql/data/postgresql.conf 的末尾包含此文件。因此，postgresql_server_conf 变量中的设置会覆盖 /var/lib/pgsql/data/postgresql.conf 中的设置。

   使用 postgresql_server_conf 中的不同设置重新运行 playbook 会使用新设置覆盖 /etc/postgresql/system-roles.conf 文件。

   postgresql_pg_hba_conf: <list_of_authentication_entries>

   在 /var/lib/pgsql/data/pg_hba.conf 文件中配置客户端身份验证条目。详情请查看 PostgreSQL 文档。

   示例允许以下到 PostgreSQL 的连接：

   • 使用本地 UNIX 域套接字的未加密的连接。
   • TLS 加密的到 IPv4 和 IPv6 localhost 地址的连接。
   • 来自 192.0.2.0/24 子网的 TLS 加密的连接。请注意，只有在您也在 postgresql_server_conf 变量中正确地配置了 listen_addresses 设置时，才能从远程地址访问。

   使用 postgresql_pg_hba_conf 中不同的设置重新运行 playbook 会使用新设置覆盖 /var/lib/pgsql/data/pg_hba.conf 文件。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.postgresql/README.md 文件。

3. 验证 playbook 语法：

   $ ansible-playbook --ask-vault-pass --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

4. 运行 playbook：

   $ ansible-playbook --ask-vault-pass ~/playbook.yml

流程

1. 将您的敏感变量存储在一个加密文件中：

   1. 创建 vault ：

      $ ansible-vault create vault.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

   2. 在 ansible-vault create 命令打开编辑器后，以 <key>: <value> 格式输入敏感数据：

      pwd: <password>

   3. 保存更改，并关闭编辑器。Ansible 加密 vault 中的数据。

2. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Installing and configuring PostgreSQL
     hosts: managed-node-01.example.com
     vars_files:
       - vault.yml
     tasks:
       - name: PostgreSQL with certificates issued by IdM
         ansible.builtin.include_role:
           name: rhel-system-roles.postgresql
         vars:
           postgresql_version: "16"
           postgresql_password: "{{ pwd }}"
           postgresql_ssl_enable: true
           postgresql_certificates:
             - name: postgresql_cert
               dns: "{{ inventory_hostname }}"
               ca: ipa
               principal: "postgresql/{{ inventory_hostname }}@EXAMPLE.COM"
           postgresql_server_conf:
             listen_addresses: "'*'"
             password_encryption: scram-sha-256
           postgresql_pg_hba_conf:
             - type: local
               database: all
               user: all
               auth_method: scram-sha-256
             - type: hostssl
               database: all
               user: all
               address: '127.0.0.1/32'
               auth_method: scram-sha-256
             - type: hostssl
               database: all
               user: all
               address: '::1/128'
               auth_method: scram-sha-256
             - type: hostssl
               database: all
               user: all
               address: '192.0.2.0/24'
               auth_method: scram-sha-256
   
   
       - name: Open the PostgresQL port in firewalld
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - service: postgresql
               state: enabled

   示例 playbook 中指定的设置包括以下内容：

   postgresql_version: <version>

   设置要安装的 PostgreSQL 的版本。您可以设置的版本取决于受管节点上运行的 Red Hat Enterprise Linux 中提供的 PostgreSQL 版本。

   您无法通过更改 postgresql_version 变量并再次运行 playbook 来升级或降级 PostgreSQL。

   postgresql_password: <password>

   设置 postgres 数据库超级用户的密码。

   您无法通过更改 postgresql_password 变量并再次运行 playbook 来更改密码。

   postgresql_certificates: <certificate_role_settings>

   包含 certificate 角色设置的 YAML 字典的列表。

   postgresql_server_conf: <list_of_settings>

   定义您要角色设置的 postgresql.conf 设置。角色将这些设置添加到 /etc/postgresql/system-roles.conf 文件中，并在 /var/lib/pgsql/data/postgresql.conf 的末尾包含此文件。因此，postgresql_server_conf 变量中的设置会覆盖 /var/lib/pgsql/data/postgresql.conf 中的设置。

   使用 postgresql_server_conf 中的不同设置重新运行 playbook 会使用新设置覆盖 /etc/postgresql/system-roles.conf 文件。

   postgresql_pg_hba_conf: <list_of_authentication_entries>

   在 /var/lib/pgsql/data/pg_hba.conf 文件中配置客户端身份验证条目。详情请查看 PostgreSQL 文档。

   示例允许以下到 PostgreSQL 的连接：

   • 使用本地 UNIX 域套接字的未加密的连接。
   • TLS 加密的到 IPv4 和 IPv6 localhost 地址的连接。
   • 来自 192.0.2.0/24 子网的 TLS 加密的连接。请注意，只有在您也在 postgresql_server_conf 变量中正确地配置了 listen_addresses 设置时，才能从远程地址访问。

   使用 postgresql_pg_hba_conf 中不同的设置重新运行 playbook 会使用新设置覆盖 /var/lib/pgsql/data/pg_hba.conf 文件。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.postgresql/README.md 文件。

3. 验证 playbook 语法：

   $ ansible-playbook --ask-vault-pass --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

4. 运行 playbook：

   $ ansible-playbook --ask-vault-pass ~/playbook.yml