Indique les adresses TCP/IP sur lesquelles le serveur écoute les connexions en provenance d'applications clientes. La valeur prend la forme d'une liste de noms d'hôte ou d'adresses IP numériques séparés par des virgules. L'entrée spéciale * correspond à toutes les interfaces IP disponibles. Si la liste est vide, le serveur n'écoute aucune interface IP, auquel cas seuls les sockets de domaine Unix peuvent être utilisées pour s'y connecter. La valeur par défaut est localhost, ce qui n'autorise que les connexions locales de type « loopback ». Ce paramètre ne peut être configuré qu'au lancement du serveur.
Le port TCP sur lequel le serveur écoute ; 5432 par défaut. Le même numéro de port est utilisé pour toutes les adresses IP que le serveur écoute. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Indique le nombre maximum de connexions concurrentes au serveur de base de données. La valeur par défaut typique est de 100 connexions, mais elle peut être moindre si les paramètres du noyau ne le supportent pas (ce qui est déterminé lors de l'initdb). Ce paramètre ne peut être configuré qu'au lancement du serveur.
L'augmentation de ce paramètre peut obliger PostgreSQL™ à réclamer plus de mémoire partagée System V ou de sémaphores que ne le permet la configuration par défaut du système d'exploitation. Voir la Section 17.4.1, « Mémoire partagée et sémaphore » pour plus d'informations sur la façon d'ajuster ces paramètres, si nécessaire.
Indique le nombre de connecteurs (« slots ») réservés aux connexions des superutilisateurs PostgreSQL™. Au plus max_connections connexions peuvent être actives simultanément. Dès que le nombre de connexions simultanément actives atteint max_connections moins superuser_reserved_connections, les nouvelles connexions ne sont plus acceptées que pour les superutilisateurs.
La valeur par défaut est de trois connexions. La valeur doit être plus petite que la valeur de max_connections. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Indique le répertoire du socket de domaine Unix sur lequel le serveur écoute les connexions des applications client. Par défaut, il s'agit de /tmp mais cela peut être modifié au moment de la construction. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Configure le groupe propriétaire du socket de domaine Unix (l'utilisateur propriétaire de la socket est toujours l'utilisateur qui lance le serveur). En combinaison avec le paramètre unix_socket_permissions, ceci peut être utilisé comme un mécanisme de contrôle d'accès supplémentaire pour les connexions de domaine Unix. Par défaut, il s'agit d'une chaîne vide, ce qui sélectionne le groupe par défaut de l'utilisateur courant. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Configure les droits d'accès au socket de domaine Unix. Ce socket utilise l'ensemble habituel des droits du système de fichiers Unix. Ce paramètre doit être indiqué sous une forme numérique telle qu'acceptée par les appels système chmod et umask (pour utiliser le format octal, ce nombre doit commencer avec un 0 (zéro)).
Les droits par défaut sont 0777, signifiant que tout le monde peut se connecter. Les alternatives raisonnables sont 0770 (utilisateur et groupe uniquement, voir aussi unix_socket_group) et 0700 (utilisateur uniquement) (pour un socket de domaine Unix, seul le droit d'accès en écriture importe ; il n'est donc pas nécessaire de donner ou de révoquer les droits de lecture ou d'exécution).
Ce mécanisme de contrôle d'accès est indépendant de celui décrit dans le Chapitre 21, Authentification du client.
Ce paramètre ne peut être configuré qu'au lancement du serveur.
Indique le nom du broadcast Bonjour™. Le nom de l'ordinateur est utilisé si ce paramètre est configuré avec une chaîne vide (ce qui est la valeur par défaut). Ce paramètre est ignoré si le serveur n'est pas compilé avec le support Bonjour™. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Sur les systèmes supportant l'option de socket TCP_KEEPIDLE, indique le nombre de secondes avant l'envoi de signaux « keepalives » sur une connexion silencieuse (idle). La valeur zéro permet d'utiliser celle par défaut du système. Si TCP_KEEPIDLE n'est pas supporté, ce paramètre doit valoir zéro. Ce paramètre est ignoré pour les connexions réalisées via une socket de domaine Unix.
Sur les systèmes supportant l'option de socket TCP_KEEPINTVL, indique le temps, en secondes, d'attente d'une réponse à un « keepalive » avant de retransmettre. La valeur zéro permet d'utiliser celle par défaut du système. Si TCP_KEEPINTVL n'est pas supporté, ce paramètre doit valoir zéro. Ce paramètre est ignoré pour les connexions réalisées via une socket de domaine Unix.
Sur les systèmes supportant l'option socket TCP_KEEPCNT, indique le nombre de « keepalive » qui peuvent être perdus avant de considérer que la connexion est tombée. La valeur zéro permet d'utiliser celle par défaut du système. Si TCP_KEEPCNT n'est pas supporté, ce paramètre doit valoir zéro. Ce paramètre est ignoré pour les connexions réalisées via une socket de domaine Unix.
Temps maximum pour terminer l'authentification du client, en secondes. Si un client n'a pas terminé le protocole d'authentification dans ce délai, le serveur rompt la connexion. Cela protège le serveur des clients bloqués occupant une connexion indéfiniment. La valeur par défaut est d'une minute. Ce paramètre peut être configuré au lancement du serveur et dans le fichier postgresql.conf.
Active les connexions SSL. Lire la Section 17.8, « Connexions tcp/ip sécurisées avec ssl » avant de l'utiliser. Désactivé par défaut. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Indique une liste de chiffrements SSL dont l'utilisation est autorisée sur des connexions sécurisées. Voir la page de manuel openssl pour la liste des chiffrements supportés. Ce paramètre n'est pas disponible si le serveur n'a pas été compilé avec le support de SSL.
Indique la quantité de données pouvant transiter sur une connexion en SSL avant qu'une renégotiation de la session ne survienne. La renégotiation de la session diminue le risque d'analyse du chiffrement lorsque de gros volumes de données sont envoyées mais cela a un coût important pour les performances. Les données émises et réceptionnées sont prises en compte lors de la vérification de la limite. Si ce paramètre est à 0, la renégotiation est désactivée. La valeur par défaut est de 512 Mo.
![[Note]](images/note.png)
Les bibliothèques SSL antérieures à novembre 2009 ne sont pas sécurisées lors de l'utilisation de la renégotiation SSL à cause d'une faille dans le protocole SSL. Pour corriger rapidement cette faille, certains fournisseurs de la bibliothèque ont proposé des bibliothèques SSL ne disposant plus de la fonctionnalité de renégotiation. Si une de ces bibliothèques sont utilisées sur le serveur ou sur le client, la renégotiation SSL doit être désactivée.
Ce paramètre détermine si un mot de passe, indiqué dans CREATE USER ou ALTER USER sans qu'il soit précisé ENCRYPTED ou UNENCRYPTED, doit être chiffré. Actif par défaut (chiffre le mot de passe).
Configure le domaine pour l'authentification Kerberos, GSSAPI et SSPI. Voir Section 21.2.5, « Authentification Kerberos », Section 21.2.3, « Authentification GSSAPI » et Section 21.2.4, « Authentification SSPI » pour les détails. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Configure l'emplacement du fichier contenant la clé secrète du serveur Kerberos. Voir la Section 21.2.5, « Authentification Kerberos » et la la Section 21.2.3, « Authentification GSSAPI » pour les détails. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Configure le nom du service Kerberos. Voir la Section 21.2.5, « Authentification Kerberos » pour les détails. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Configure la partie du nom de l'hôte du service principal. Ceci, combiné avec krb_srvname, est utilisé pour engendrer le service principal complet, c'est-à-dire krb_srvname/krb_server_hostname@REALM. Sans configuration, le comportement par défaut autorise tout service principal correspondant à une entrée dans la table des clés. Voir la Section 21.2.5, « Authentification Kerberos » pour les détails. Ce paramètre ne peut être configuré qu'au lancement du serveur.
Indique si les noms des utilisateurs Kerberos et GSSAPI doivent être traités en respectant la casse. Désactivé par défaut (insensible à la casse, valeur off), ce paramètre ne peut être configuré qu'au lancement du serveur.
Active les noms d'utilisateur par base de données. Désactivé par défaut, ce paramètre ne peut être configuré que dans le fichier postgresql.conf ou indiqué sur la ligne de commande.
Si ce paramètre est activé, les utilisateurs doivent être créés sous la forme nomutilisateur@nom_base. Quand nomutilisateur est passé par un client se connectant, @ et le nom de la base de données sont ajoutés au nom de l'utilisateur et ce nom d'utilisateur spécifique à la base est recherché par le serveur. Lorsque des utilisateurs dont le nom contient un @ sont créés dans l'environnement SQL, ce nom doit être placé entre guillemets.
Ce paramètre activé, il reste possible de créer des utilisateurs globaux ordinaires. Il suffit pour cela d'ajouter @ au nom du client. Le @ est supprimé avant que le serveur ne recherche ce nom.
Cette fonctionnalité, temporaire, sera supprimée lorsqu'une solution complète sera trouvée.
Emplacement des fichiers