pgBackRest多实例配置中的权限问题与解决方案

背景介绍

pgBackRest是一款强大的PostgreSQL备份工具，在企业环境中经常被用于数据库备份和恢复。在实际部署中，管理员可能会遇到需要在一台服务器上同时管理多个PostgreSQL实例备份的情况，这时就会涉及到复杂的权限配置问题。

问题现象

用户在一台备份服务器上配置了两个pgBackRest实例：

1. prod实例：连接远程生产服务器prodsyngyps100
2. pprd实例：连接本地预生产环境pprodsyngyps101

用户发现必须使用不同用户执行备份才能正常工作：

• prod实例需要使用pgbackrest用户执行
• pprd实例需要使用postgres用户执行

当尝试统一使用pgbackrest用户执行时，会出现权限错误，提示无法获取锁文件/tmp/pgbackrest/pprd-archive-1.lock的权限，最终导致无法找到主集群的错误。

根本原因分析

这个问题的核心在于pgBackRest的权限模型与PostgreSQL的运行机制之间的交互。当pgBackRest需要与PostgreSQL实例交互时，它需要能够访问PostgreSQL的数据目录和临时文件。在Linux系统中，这些资源通常由postgres用户拥有。

当使用pgbackrest用户执行备份时，该用户可能没有足够的权限访问PostgreSQL实例的某些关键资源，特别是：

1. PostgreSQL数据目录
2. 临时锁文件目录
3. WAL归档相关文件

解决方案比较

方案一：混合用户执行（用户当前方案）

优点：

• 快速解决问题
• 不需要深入理解权限模型

缺点：

• 管理复杂，需要记住不同实例使用不同用户
• 需要配置共享目录的特殊权限
• 不符合最小权限原则

方案二：统一使用postgres用户

优点：

• 简化管理
• 完全兼容PostgreSQL的权限模型
• 无需特殊权限配置

缺点：

• 与pgBackRest官方推荐的专用用户实践不符
• 可能增加安全风险（如果postgres用户被入侵）

方案三：精细化权限配置

1. 确保pgbackrest用户属于postgres组
2. 合理设置目录权限：

   chown -R pgbackrest:postgres /var/{lib,log}/pgbackrest
   chmod 770 /var/{lib,log}/pgbackrest
   

3. 配置PostgreSQL相关目录的组权限

优点：

• 遵循最小权限原则
• 保持专用用户的安全优势
• 统一管理界面

缺点：

• 配置较为复杂
• 需要深入理解Linux权限模型

最佳实践建议

对于大多数生产环境，建议采用以下配置方案：

1. 为pgBackRest创建专用用户pgbackrest
2. 将该用户加入postgres组
3. 设置合理的目录权限：

   chown -R pgbackrest:postgres /var/lib/pgbackrest
   chmod -R 750 /var/lib/pgbackrest
   

4. 确保PostgreSQL相关目录允许postgres组成员读取
5. 统一使用pgbackrest用户执行所有备份操作

配置示例

以下是推荐的pgBackRest配置文件示例：

[prod]
pg1-host=prodsyngyps100
pg1-path=/global/data/postgresql/12/main

[pprd]
pg1-host=pprodsyngyps101
pg1-path=/global/postgresql/14/main

[global]
repo1-path=/var/lib/pgbackrest
repo1-retention-full=1
start-fast=y
repo1-block=y
repo1-bundle=y

总结

在多实例pgBackRest配置中，权限问题是常见的挑战。通过合理配置用户组和目录权限，可以既保持安全性又简化管理。对于大多数企业环境，推荐使用专用pgbackrest用户并精细控制权限的方案，这能在安全性和便利性之间取得良好平衡。

对于特殊环境，如备份服务器本身也运行PostgreSQL实例的情况，可以考虑统一使用postgres用户，但需评估潜在的安全风险。无论选择哪种方案，保持配置的一致性和文档的完整性都是至关重要的。