金仓数据库KingbaseES安全指南--6.9. Ident身份验证

6.9.1. 关于Ident身份验证

ident 认证方法通过从一个 ident 服务器获得客户端的操作系统用户名并且用它作为被允许的数据库用户名（和可选的用户名映射）来工作。它只在 TCP/IP 连接上支持。

注意

当为一个本地（非 TCP/IP）连接指定 ident 时，将实际使用 peer 认证（见 Peer身份验证 ）。

6.9.2. Ident身份验证的工作原理

下列被支持的配置选项用于ident：

map

允许系统和数据库用户名之间的映射。详见 用户名映射 。

“Identification Protocol（标识协议）”在 RFC 1413中描述。实际上每个类 Unix 操作系统都带着一个默认监听 TCP 113 端口的 ident 服务器。ident 服务器的基本功能是回答类似这样的问题：“哪个用户从你的端口X发起了连接并且连到了我的端口Y？” 。因为当一个物理连接被建立后，KingbaseES既知道``X``也知道``Y``，所以它可以询问尝试连接的客户端主机上的 ident 服务器并且在理论上可以判断任意给定连接的操作系统用户。

这个过程的缺点是它依赖于客户端的完整性：如果客户端机器不可信或者被攻破，攻击者可能在 113 端口上运行任何程序并且返回他们选择的任何用户。因此这种认证方法只适用于封闭的网络， 这样的网络中的每台客户端机器都处于严密的控制下并且数据库和操作系统管理员操作时可以方便地联系。换句话说，你必须信任运行 ident 服务器的机器。注意这样的警告：

标识协议的本意不是作为一种认证或访问控制协议。

--RFC 1413

有些 ident 服务器有一个非标准的选项，它导致返回的用户名是被加密的，使用的是只有原机器管理员知道的一个密钥。当与KingbaseES配合使用 ident 服务器时，一定不要使用这个选项，因为KingbaseES没有任何方法对返回的字符串进行解密以获取实际的用户名。