Comment transmettre le mot de passe de pg_dump?

Je suis en train de créer une tâche cron pour sauvegarder ma base de données tous les soirs avant que quelque chose de catastrophique se produit. Il ressemble à cette commande devrait répondre à mes besoins:

0 3 * * * pg_dump dbname | gzip > ~/backup/db/$(date +%Y-%m-%d).psql.gz

Sauf après l'exécution, il attend de me taper un mot de passe. Je ne peux pas le faire si je le lance à partir de cron. Comment puis-je passer un automatiquement?

éventuellement utile de post que j'ai écrit sur l'automatisation de pg_restore ! medium.com/@trinity/...

InformationsquelleAutor mpen | 2010-05-23

247

Créer un .pgpass fichier dans le répertoire personnel du compte que pg_dump s'exécute. Voir documentation Postgresql libpq-pgpass pour les détails du format (y compris le dernier paragraphe où il explique qu'il sera ignoré si vous ne définissez pas le mode de 0600).
- Créer ~/.pgpass avec localhost:5432:mydbname:postgres:mypass Puis chmod 600 ~/.pgpass
- Éventuellement utiles: Sur Ubuntu, "sudo su postgres" pour passer à la "postgres" utilisateur", puis créer la .pgpass fichier et exécuter la sauvegarde.
- J'ai suivi votre réponse, mais toujours pas réussi à créer mon fichier de sauvegarde. Veuillez voir mon lien: unix.stackexchange.com/questions/257898/... . Je vous remercie.
- Ne fonctionne pas sur 9,5
- Fonctionne sur 9.6.2 :o)
- Pourquoi ne pas l'invite de mot de passe (-W / --mot de passe) semblent travailler pour cela?
- Remarque à propos de sudo su postgres: Unix utilisateur n'existe pas nécessairement. Il n'est pas nécessaire. Mais le DB utilisateur doit.
InformationsquelleAutor araqnid
181

Ou vous pouvez configurer crontab pour exécuter un script. À l'intérieur de ce script, vous pouvez définir une variable d'environnement comme ceci:
export PGPASSWORD="$put_here_the_password"

De cette façon, si vous avez plusieurs commandes qui pourraient exiger un mot de passe, vous pouvez les mettre tous dans le script. Si les modifications de mot de passe, vous n'avez qu'à changer dans un seul endroit (le script).

Et je suis d'accord avec Joshua, à l'aide de pg_dump -Fc génère le plus souple de format d'exportation et est déjà compressé. Pour plus d'infos, voir: pg_dump documentation

E. g.
```
# dump the database in custom-format archive
pg_dump -Fc mydb > db.dump

# restore the database
pg_restore -d newdb db.dump
```
- ce n'est pas l'idéal. de le jeter dans .pgpass sera tout garder dans un endroit trop, sans l'ajout d'une couche supplémentaire d'indirection. de plus, si tout ce que je voulais faire avec de l'exportation d'une variable, je ferais ça dans mon .bashrc fichier, ou quoi que ce soit.
- Je peux voir pourquoi la .pgpass fichier serait une meilleure solution. Je viens de donner une alternative, ne sais pas si elle mérite un downvote bien 🙂
- Je n'ai pas downvote. C'était quelqu'un d'autre, je ne pense pas qu'il méritait un downvote soit. Avoir un +1 à faire pour elle.
- Votre suggestion “Et je suis d'accord avec Joshua, il suffit d'utiliser pg_dump -Fc, beaucoup plus facile.” n'a pas vraiment ajouter quelque chose à votre réponse/solution de rechange. Plus précisément, elle n'explique pas en quoi il serait plus facile; ainsi, il ne fait qu'ajouter à la confusion.
- Merci pour les commentaires Kissaki. Je ne me souviens pas le contexte exact, je ne vois rien de Josué, mais probablement que j'avais une bonne raison à ce moment-là. J'ai élargi un peu sur pourquoi c'est la meilleure façon pour faire un dump d'une base de données à l'aide de pg_dump -Fc: facile à recharger la base de données + format déjà compressé. Et maintenant, il y a une référence à pg_dump où n'importe qui peut creuser dans les détails.
- Ces solutions constitue une extrême les risques de sécurité. L'exportation mot clé permet de cette variable une partie du système de l'environnement qui signifie n'importe quel utilisateur peut examiner sa valeur. À l'aide de commande env pour définir ce que de l'exécution de pg_dump/pg_restore est bien meilleure approche.
- Donc, beaucoup de haters. J'apprécie cette réponse et je suis l'adopter pour mon propre application.
- Réglage de la PGPASSWORD variable d'environnement n'est pas une pratique recommandée par la documentation (postgresql.org/docs/current/static/libpq-envars.html) : l'Utilisation de cette variable d'environnement n'est pas recommandé pour des raisons de sécurité, comme certains systèmes d'exploitation permettent à des utilisateurs non root pour voir le processus de variables d'environnement via le ps; au lieu de considérer l'utilisation de l' ~/.pgpass fichier
- Dans certains environnements, tels que les AWS sur une Ubuntu instance EC2, la valeur par défaut ubuntu utilisateur peut sudo sans mot de passe, donc utiliser une variable d'environnement n'est pas vraiment moins sûr. En fait, c'est probablement plus sûr d'utiliser la variable d'environnement, puis retirez-le immédiatement après, par rapport à quitter la .pgpass fichier sur le disque pour que ubuntu de l'utilisateur pour accéder à.
- l'utiliser avec docker run
- Ce serait effectivement la meilleure façon pour les conteneurs docker.
InformationsquelleAutor Max
144

Si vous voulez le faire en une seule commande:
```
PGPASSWORD="mypass" pg_dump mydb > mydb.dump
```
- Réglage de la PGPASSWORD variable d'environnement n'est pas une pratique recommandée par la documentation (postgresql.org/docs/current/static/libpq-envars.html) : l'Utilisation de cette variable d'environnement n'est pas recommandé pour des raisons de sécurité, comme certains systèmes d'exploitation permettent à des utilisateurs non root pour voir le processus de variables d'environnement via le ps; au lieu de considérer l'utilisation de l' ~/.pgpass fichier
- C'est toujours une observation utile. Il y a beaucoup de déploiement des cas où c'est toujours utile.
- J'ai toujours eu l'erreur " par les Pairs échec de l'authentification de l'utilisateur "nom d'utilisateur"'. La Solution était: PGPASSWORD="mypass" pg_dump -U username-h localhost > mydb.dump
- Mon avis est qu'il est de loin préférable de définir une variable d'environnement (où vous avez le contrôle, où et comment le mot de passe sera stocké) comme dans une connue, en clair lieu. Cette partie de la doc de postgresql est défectueux, et cette réponse est la bonne.
- Mon mot de passe avait un '@' dans son. Cela a fonctionné. Je ne pourrais pas comprendre comment le faire fonctionner avec la postgres:// de la syntaxe. N'essayez pas de le .pgpass parce que mon postgress utilisateur n'a pas de répertoire de base.
InformationsquelleAutor gitaarik
107

Pour un one-liner, comme la migration d'une base de données que vous pouvez utiliser --dbname suivi par une chaîne de connexion (y compris le mot de passe) comme indiqué dans le pg_dump manuel

En essence.

pg_dump --dbname=postgresql://username:[email protected]:5432/mydatabase

Remarque: assurez-vous que vous utilisez l'option --dbname au lieu de la plus courte -d et l'utilisation d'une URI valide préfixe, postgresql:// ou postgres://.

Le général URI forme est:

postgresql://[user[:password]@][netloc][:port][/dbname][?param1=value1&...]

Les meilleures pratiques dans votre cas (répétition de tâches cron) cela ne devrait pas être faite en raison de problèmes de sécurité. Si ce n'était pas pour .pgpass fichier je voudrais enregistrer la chaîne de connexion comme une variable d'environnement.

export MYDB=postgresql://username:[email protected]:5432/mydatabase

alors dans votre crontab

0 3 * * * pg_dump --dbname=$MYDB | gzip > ~/backup/db/$(date +%Y-%m-%d).psql.gz
- La Version 9.1 de Postgre sorties une option inconnue pour dbname
- Cela a été testé avec les versions 9.4 et de 9,3 sur l'arche et RHEL respectivement. vous pouvez poster votre chaîne de connexion? anonyme bien sûr.
- Merci, @JosueIbarra. Testé avec succès sur PostgreSQL 9.3, Ubuntu 14.04.
- Il n'a pas de travail pour moi. Je suis sur 9,5
- Je viens de tester à nouveau sur 9.5.1 sur Arch Linux, il fonctionne. Assurez-vous d'utiliser une chaîne de connexion valide avec l'option contenant un signe égal. Voir --dbname postgresql.org/docs/9.5/static/app-pgdump.html Impressionnant nom d'utilisateur par le chemin.
- 9.5 windows fonctionne..
- J'ai essayé cela avec 9.6 windows: pg_dump --dbname=postgresql://username:[email protected]:5432/mydatabase et pendant qu'il imprime tout, il ne semble pas enregistrer n'importe où, ou ai-je raté quelque chose?
- vous avez besoin de rediriger la sortie vers un fichier, afin de la sauver. voir cette pertinente question askubuntu.com/questions/420981/...
- Merci à vous, qui a très bien fonctionné! Seriez-vous prêt à montrer comment le restaurer via la ligne de commande à l'aide de la psql fichier qui est créé. J'obtiens le résultat suivant lorsque vous tentez de restaurer. "pg_restore: [archiver] fichier d'entrée semble être un format texte. Veuillez utiliser psql."
- Très travaillé, pour quelque raison que postgres ou utilisateur régulier .pgpass aurait pas à s'authentifier, ce un liner travaillé.
- Cela a fonctionné comme un charme pour moi
- ce doit être la accepté de répondre. Un liner, claire.
InformationsquelleAutor Josue Alexander Ibarra
42
```
$ PGPASSWORD="mypass" pg_dump -i -h localhost -p 5432 -U username -F c -b -v -f dumpfilename.dump databasename
```
- Sympa, mais malheureusement ne fonctionne pas pour moi, j'ai "échec de la requête: ERREUR: permission denied pour relation direction_lookup"
- avez-vous essayé de donner les autorisations nécessaires pour le pg de l'utilisateur?
InformationsquelleAutor Francisco Luz
16

@Josué Alexander Ibarra réponse travaille sur centos 7 et la version 9.5
si --dbname n'est pas passé.
```
pg_dump postgresql://username:[email protected]:5432/mydatabase 
```
- Vous avez raison, c'est la façon dont il est censé le regarder, je pense que ce qui a été mal y a quelques années était ma coquille de configuration. C'est pourquoi il était essentiel pour moi d'utiliser --dbname
InformationsquelleAutor Jauyzed
7

Ce un liner m'aide lors de la création dump d'une base de données unique.
```
PGPASSWORD="yourpassword" pg_dump -U postgres -h localhost mydb > mydb.pgsql
```
InformationsquelleAutor Rajan Verma
4

Corrigez-moi si je me trompe, mais si le système de l'utilisateur est le même que l'utilisateur de base de données, PostgreSQL ne pas demander le mot de passe - il s'appuie sur le système pour l'authentification. Cela peut être une question de configuration.

Donc, quand j'ai voulu le propriétaire de base de données postgres à la sauvegarde de ses bases de données tous les soirs, j'ai pu créer un crontab pour elle: crontab -e -u postgres. Bien sûr, postgres devraient être autorisés à exécuter des tâches cron; ainsi, il doit être répertorié dans /etc/cron.allow, ou /etc/cron.deny doit être vide.
- Vous êtes plutôt du genre ici. Par défaut Postgres configuration utilise l'authentification de CONFIANCE pour le système local des comptes. Cependant, la plupart des setups de production se débarrasser de ce bloc sur la droite après l'installation de SGBDR.
InformationsquelleAutor Tobias

Sauvegarde via ssh par mot de passe à l'aide temporaire .pgpass informations d'identification et les pousser à S3:

#!/usr/bin/env bash
cd "$(dirname "$0")"

DB_HOST="*******.*********.us-west-2.rds.amazonaws.com"
DB_USER="*******"
SSH_HOST="[email protected]_domain.com"
BUCKET_PATH="bucket_name/backup"

if [ $# -ne 2 ]; then
    echo "Error: 2 arguments required"
    echo "Usage:"
    echo "  my-backup-script.sh <DB-name> <password>"
    echo "  <DB-name> = The name of the DB to backup"
    echo "  <password> = The DB password, which is also used for GPG encryption of the backup file"
    echo "Example:"
    echo "  my-backup-script.sh my_db my_password"
    exit 1
fi

DATABASE=$1
PASSWORD=$2

echo "set remote PG password .."
echo "$DB_HOST:5432:$DATABASE:$DB_USER:$PASSWORD" | ssh "$SSH_HOST" "cat > ~/.pgpass; chmod 0600 ~/.pgpass"
echo "backup over SSH and gzip the backup .."
ssh "$SSH_HOST" "pg_dump -U $DB_USER -h $DB_HOST -C --column-inserts $DATABASE" | gzip > ./tmp.gz
echo "unset remote PG password .."
echo "*********" | ssh "$SSH_HOST" "cat > ~/.pgpass"
echo "encrypt the backup .."
gpg --batch --passphrase "$PASSWORD" --cipher-algo AES256 --compression-algo BZIP2 -co "$DATABASE.sql.gz.gpg" ./tmp.gz

# Backing up to AWS obviously requires having your credentials to be set locally
# EC2 instances can use instance permissions to push files to S3
DATETIME=`date "+%Y%m%d-%H%M%S"`
aws s3 cp ./"$DATABASE.sql.gz.gpg" s3://"$BUCKET_PATH"/"$DATABASE"/db/"$DATETIME".sql.gz.gpg
# s3 is cheap, so don't worry about a little temporary duplication here
# "latest" is always good to have because it makes it easier for dev-ops to use
aws s3 cp ./"$DATABASE.sql.gz.gpg" s3://"$BUCKET_PATH"/"$DATABASE"/db/latest.sql.gz.gpg

echo "local clean-up .."
rm ./tmp.gz
rm "$DATABASE.sql.gz.gpg"

echo "-----------------------"
echo "To decrypt and extract:"
echo "-----------------------"
echo "gpg -d ./$DATABASE.sql.gz.gpg | gunzip > tmp.sql"
echo

Venez de remplacer le premier couple de config des lignes avec ce que vous avez besoin évident.
Pour ceux qui ne sont pas intéressés dans la S3 de sauvegarde de la partie, prenez - le, évidemment.

Ce script supprime les informations d'identification dans .pgpass par la suite, parce que dans certains environnements, la valeur par défaut de SSH utilisateur peut sudo sans mot de passe, par exemple une instance EC2 avec le ubuntu l'utilisateur, à l'aide de .pgpass avec un autre hôte, compte afin de sécuriser ces informations d'identification, peut-être inutile.

Testé et de travail avec PG 9.6
Mot de passe se connecté à la borne history de cette façon, non?
Localement, oui. À distance, pas de. Dans mon cas, c'est OK d'avoir dans mon histoire locale, car ses sécurisé VM qui ne permettent pas l'accès à distance. Si dans votre cas, ce n'est pas OK, il suffit de faire history -c. Lors de l'utilisation avec Jenkins, utilisez le Inject passwords to the build as environment variables option, de sorte que le mot de passe est masqué

InformationsquelleAutor MikeM

3

Comme détaillé dans ce blog , il y a deux façons de non interactive à fournir un mot de passe pour PostgreSQL utilitaires tels que le "pg_dump de la commande": à l'aide de la ".pgpass" fichier ou en utilisant le "PGPASSWORD" variable d'environnement.

InformationsquelleAutor manfall19
0

Noter que, dans windows, la pgpass.conf fichier doit être dans le dossier suivant:
```
%APPDATA%\postgresql\pgpass.conf
```
si il n'y a pas postgresql dossier à l'intérieur de la %APPDATA% dossier, créez-la.

la pgpass.conf contenu du fichier est quelque chose comme:
```
localhost:5432:dbname:dbusername:dbpassword
```
acclamations

InformationsquelleAutor Fernando Meneses Gomes
-1

L'autre (probablement) pour passer le mot de passe à l'aide de la redirection d'entrée c'est à dire l'appel de

pg_dump [params] < [path to file containing password]
- Concernant la sécurité de ce fichier doit être lisible par l'utilisateur prévu(s) seulement; cependant, une personne avec des droits root serait en mesure de modifier les paramètres de sécurité, et donc de lire le mot de passe non crypté. Donc oui, c'est l'insécurité ...
- est-il une alternative? Il semblerait que toute personne avec des droits root pouvait toujours voir le mot de passe de n'importe quelle technique autre que d'entrer le mot de passe de manière interactive (et la question est sur cron). postgresql.org/docs/9.3/static/auth-methods.html#GSSAPI-AUTH mentionne GSSAPI l'appui de l'authentification unique mais ne mentionnent pas si cela fonctionne de façon non interactive.
- Toute personne avec des droits root pouvez également lire les .pgpass qui est la méthode recommandée. Par conséquent, je ne serais pas envisager d'accès à la racine d'un risque de sécurité.
InformationsquelleAutor szymond
-3

la façon la plus simple, à mon avis, ceci:
vous modifier vous postgres fichier de config: pg_hba.conf
de là, vous devrez ajouter la ligne suivante:

host <you_db_name> <you_db_owner> 127.0.0.1/32 trust

et après cela, vous devez commencer à vous cron donc:

pg_dump -h 127.0.0.1 -U <you_db_user> <you_db_name> | gzip > /backup/db/$(date +%Y-%m-%d).psql.gz

et il a travaillé sans mot de passe
- Et vous détruit le système de sécurité. OK pour une boîte de dev, mais rien d'autre.
InformationsquelleAutor Dofri

Vous devez vous connecter pour publier un commentaire.