Autenticación SCRAM

SCRAM-SHA-256 es la autenticación de contraseña predeterminada de PostgreSQL. El servidor almacena un verificador con sal, no la contraseña en texto plano, y el cliente demuestra conocimiento a través de un protocolo de desafío-respuesta. Empareje SCRAM con TLS (hostssl) para producción; agregue LDAP o IAM en la nube cuando se requiera identidad centralizada.

Receta

-- Predeterminado del servidor para contraseñas nuevas (postgresql.conf)
-- password_encryption = scram-sha-256
 
CREATE ROLE app_api LOGIN PASSWORD 'contraseña-secreta-generada-por-vault';

# pg_hba.conf
hostssl  orders  app_api  10.20.0.0/16  scram-sha-256

# Verificar el tipo de hash almacenado
psql -c "SELECT rolname, rolpassword FROM pg_authid WHERE rolname = 'app_api';"
# rolpassword comienza con SCRAM-SHA-256$

Cuándo utilizar esto:

• Todos los roles basados en contraseña en PostgreSQL 14+
• Migración desde md5 durante una actualización o auditoría de cumplimiento
• Base antes de LDAP/SSO - incluso los flujos federados a menudo se mapean a un rol de base de datos

Ejemplo de funcionamiento

Migrar un rol md5 heredado a SCRAM y aplicarlo en las conexiones.

-- Confirmar la configuración de cifrado
SHOW password_encryption;  -- scram-sha-256
 
-- Volver a establecer la contraseña para regenerar el verificador SCRAM
ALTER ROLE app_api PASSWORD 'nueva-contraseña-rotada-desde-vault';
 
-- Confirmar el formato del verificador
SELECT rolname,
       left(rolpassword, 14) AS hash_prefix
FROM pg_authid
WHERE rolname = 'app_api';

# pg_hba.conf - sin md5 para roles de aplicación
hostssl  orders  app_api  10.20.0.0/16  scram-sha-256

# El cliente debe usar libpq/psql/driver con soporte SCRAM (clientes PostgreSQL 10+)
psql "host=db.internal dbname=orders user=app_api sslmode=verify-full"

Lo que esto demuestra:

• ALTER ROLE ... PASSWORD regenera el verificador SCRAM cuando password_encryption = scram-sha-256
• El método pg_hba debe ser scram-sha-256, no md5
• JDBC/psql antiguos sin SCRAM fallarán rápidamente (actualizar clientes)

Inmersión Profunda

Cómo funciona SCRAM

1. El cliente solicita autenticación para un usuario.
2. El servidor envía la sal y el recuento de iteraciones del verificador almacenado.
3. El cliente deriva una prueba de la contraseña + sal sin enviar la contraseña por el cable.
4. El servidor verifica la prueba contra pg_authid.rolpassword.

Resumen de la Integración LDAP

# pg_hba.conf - enlace LDAP (el directorio valida la contraseña)
hostssl  all  +ldap_users  10.20.0.0/16  ldap ldapserver=ldap.corp.internal ldapbasedn="dc=corp,dc=internal"

-- Mapear grupo LDAP a rol (patrón)
CREATE ROLE ldap_users;
GRANT app_api TO ldap_users;  -- heredar privilegios de app mediante GRANT

LDAP delega las comprobaciones de contraseña a Active Directory/OpenLDAP. PostgreSQL todavía autoriza con GRANT. Use LDAPS o TLS al directorio.

Patrones de SSO / IAM en la Nube

Las contraseñas SCRAM estáticas siguen siendo comunes para roles de migración y herramientas de BI de terceros sin soporte IAM.

Notas de PostgreSQL

-- Forzar SCRAM para cambios de contraseña de roles
ALTER SYSTEM SET password_encryption = 'scram-sha-256';
SELECT pg_reload_conf();
 
-- Listar roles que todavía usan md5
SELECT rolname FROM pg_authid
WHERE rolpassword LIKE 'md5%';

Trampas

• Verificadores md5 después de la actualización - el inicio de sesión solo funciona si pg_hba todavía permite md5. Solución: volver a ALTER ROLE PASSWORD para cada rol de inicio de sesión.
• Incompatibilidad de auth_query de PgBouncer - el pooler debe admitir SCRAM para el backend. Solución: PgBouncer 1.21+ con auth_type = scram-sha-256.
• Versiones antiguas de JDBC - SCRAM no es compatible. Solución: PostgreSQL JDBC 42.2.0+.
• Contraseña compartida en la configuración del pool de conexiones - la rotación requiere un despliegue coordinado. Solución: sidecar de vault o tokens IAM por instancia.
• LDAP sin TLS - contraseña del directorio expuesta. Solución: LDAPS y hostssl a Postgres.
• Registro de autenticación fallida en log_statement = all - solo ruido; use registros de conexión y correlación externa de SIEM.

Alternativas

Preguntas Frecuentes

Relacionado

• Conceptos básicos de seguridad - roles y concesiones
• Configuración de SSL/TLS - canal de inicio de sesión cifrado
• pg_hba.conf y autenticación - reglas de hba
• Proxies de conexión - autenticación PgBouncer
• Mejores prácticas de seguridad - higiene de credenciales

Versiones de la pila: Esta página se escribió para PostgreSQL 18.4 (estable 18, mantenimiento 17), pgvector 0.8+, PgBouncer 1.x, Patroni 3.x y PostGIS 3.5+.