# 10-openGauss测评命令
> openGauss测评取证命令单：gsql 连接与 select version() 基础信息核查，pg_roles 账户与 password_policy、failed_login_attempts 等 openGauss 特有口令锁定参数身份鉴别核查，enableSeparationOfDuty 三权分立访问控制核查，audit_enabled 审计参数与 pg_query_audit 安全审计核查，ssl/ssl_ciphers、enable_tde 数据保密性，gs_basebackup/gs_dump 备份恢复、入侵防范、时间同步核查，附版本分档差异、现场编制建议与取证注意事项。
---
LLMS index: [llms.txt](/wikis/llms.txt)
---
> openGauss数据库三级等级保护现场核查命令脚本（统一编号版）
>
> 定位：三级等保现场测评取证命令单，按功能小节组织核查命令、预期现象与判定要点。
## 基础信息
```bash
# 以操作系统用户 omm（或具备 sysadmin 属性的账户）登录主节点；-r 开启命令编辑与自动补齐
# 端口以现场实际监听为准：port 参数默认 5432，om 企业版安装常见 8000
gsql -V # gsql 客户端版本信息
gsql -d postgres -U omm -p 8000 -r
```
```sql
select version(); -- 版本串以 PostgreSQL 9.2.4 开头属正常（内核沿袭），openGauss 版本看括号内 build 串
show port; -- 实例端口
show listen_addresses; -- 监听范围
select current_user, current_database(); -- 当前登录身份
\l -- 元命令：数据库列表（名称、所有者、字符集、使用权限）
\conninfo -- 当前连接信息
```
- **对应控制点**：无对应条款（测评准备项：确认测评对象、版本与部署形态，据此选定后续核查命令）。
- **判定要点**：仅记录事实，不下符合性结论；先确认社区版/云与衍生发行版、5.x/6.x 版本与单机/主备形态再选命令（差异见「重点差异」）。
- **取证要求**：`version()`、端口与监听查询截图，登录账号与来源记录，部署形态（单机/主备/集群）说明。
- **备注**：`select version()` 输出以 `PostgreSQL 9.2.4 (openGauss x.x.x build …)` 形式呈现是官方内核沿袭的正常现象，现场不应误判为 PostgreSQL 数据库；主备环境可另在主节点执行 `gs_om -t status --detail` 确认集群状态（见备份恢复节）。
- **预期证据**：版本查询结果截图、实例信息截图、数据库列表截图、部署形态说明。
示例输出（节选）
postgres=# select version();
version
------------------------------------------------------------------------------------------------------------------------------------------
PostgreSQL 9.2.4 (openGauss 6.0.0 build xxxxxxxx) compiled at 2025-02-28 20:05:53 commit 0000 last_mr 0000
(1 row)
postgres=# show port;
port
------
8000
(1 row)
postgres=# \conninfo
以用户"omm"的身份、通过端口"8000"连接到数据库"postgres"。
**高风险提示**：初始用户（omm）保留默认/弱口令、存在空口令账户、password_policy=0 且无外围补偿，均属高风险情形。对应判定详见 [22、高风险判定指引与加固对照表](../../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
### A. 身份标识唯一、口令复杂度、定期更换
```sql
select rolname, rolsuper, rolcanlogin, rolvalidbegin, rolvaliduntil
from pg_roles order by rolname; -- 账户唯一性、可登录与有效期（pg_roles 的 rolpassword 列固定回显 ********，不泄露哈希）
show password_policy; -- 默认 1：开启口令复杂度校验；0=关闭
show password_min_length; -- 默认 8；另有 password_max_length 默认 32
show password_reuse_time; -- 默认 60（天）：口令不可重用天数
show password_reuse_max; -- 默认 0：口令不可重用次数（0=不检查次数）
show password_effect_time; -- 默认 90（天）：口令有效期
show password_notify_time; -- 默认 7（天）：口令到期提醒
select name, setting from pg_settings where name like 'password%' order by name; -- 一次拉全口令类参数，保留原始截图
```
- **备注**：openGauss 口令策略为内核原生 GUC 参数（password_policy 等），与 PostgreSQL 依赖 passwordcheck 扩展的机制完全不同，不得按 PG 口径核查。复杂度校验开启时口令须含大小写字母/数字/特殊字符中至少三类、不得与用户名相同，且可结合弱口令字典（gs_global_config）使用。账户有效截止时间看 `rolvaliduntil`（NULL 表示未设置）。加密存储算法由 password_encryption_type 决定（默认 2=sha256，0=md5 不安全），另见数据保密性节。
- **预期证据**：账户列表截图、口令策略参数截图、账号管理制度或账号台账。
示例输出（节选）
postgres=# show password_policy;
password_policy
-----------------
1
(1 row)
postgres=# show password_effect_time;
password_effect_time
----------------------
90
(1 row)
postgres=# show password_reuse_time;
password_reuse_time
---------------------
60
(1 row)
postgres=# select name, setting from pg_settings where name like 'password%' order by name;
name | setting
--------------------------+---------
password_encryption_type | 2
password_effect_time | 90
password_lock_time | 1d
...
(8 rows)
示例输出（节选）
postgres=# show failed_login_attempts;
failed_login_attempts
-----------------------
10
(1 row)
postgres=# show password_lock_time;
password_lock_time
--------------------
1d
(1 row)
postgres=# show session_timeout;
session_timeout
-----------------
10min
(1 row)
示例输出（节选）
postgres=# show ssl;
ssl
-----
on
(1 row)
postgres=# show require_ssl;
require_ssl
-------------
on
(1 row)
postgres=# show ssl_ciphers;
ssl_ciphers
-------------
ALL
(1 row)
示例输出（节选）
postgres=# select rolname, rolsystemadmin, rolauditadmin, rolcreaterole, rolcanlogin from pg_roles order by rolname;
rolname | rolsystemadmin | rolauditadmin | rolcreaterole | rolcanlogin
---------+----------------+---------------+---------------+-------------
appuser | f | f | f | t
auditmgr| f | t | f | t
omm | t | t | t | t
secmgr | f | f | t | t
(4 rows)
示例输出（节选）
postgres=# select rolname, rolsuper, rolcanlogin, rolvaliduntil from pg_roles order by rolname;
rolname | rolsuper | rolcanlogin | rolvaliduntil
---------+----------+-------------+---------------
appuser | f | t |
auditmgr| f | t |
omm | t | t |
test_old| f | t | 2026-01-05 00:00:00+08
(4 rows)
示例输出（节选）
postgres=# \dp public.t_order
Access privileges
Schema | Table | Type | Access privileges | Column privileges
--------+---------+-------+--------------------------+-------------------
public | t_order | table | appuser=rwD/appuser |
report=r/appuser
(1 row)
示例输出（节选）
postgres=# show enableSeparationOfDuty;
enableSeparationOfDuty
------------------------
on
(1 row)
**高风险提示**：审计功能未开启（audit_enabled=off 且无替代审计措施）属高风险情形。对应判定详见 [22、高风险判定指引与加固对照表](../../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
### A. 审计功能是否开启
```sql
show audit_enabled; -- 默认 on（SIGHUP 类型，可在线修改）
select name, setting from pg_settings where name like 'audit%' order by name; -- 一次拉全审计参数，保留原始截图
```
- **备注**：audit_enabled 控制审计进程的开启和关闭，开启后审计进程从管道读取后台进程写入的审计信息并写入审计文件；audit_directory 默认 pg_audit（相对数据目录，om 部署时为 $GAUSSLOG/pg_audit/实例名），audit_data_format 默认 binary。审计查询需 AUDITADMIN 属性用户（见 D 小节）。
- **预期证据**：audit_enabled 截图、审计参数全量截图、审计文件目录截图。
示例输出（节选）
postgres=# show audit_enabled;
audit_enabled
---------------
on
(1 row)
示例输出（节选）
postgres=# show audit_login_logout;
audit_login_logout
--------------------
7
(1 row)
postgres=# show audit_system_object;
audit_system_object
---------------------
67121195
(1 row)
postgres=# show audit_dml_state;
audit_dml_state
-----------------
1
(1 row)
示例输出（节选）
postgres=# show audit_resource_policy;
audit_resource_policy
-----------------------
off
(1 row)
postgres=# show audit_file_remain_time;
audit_file_remain_time
------------------------
185
(1 row)
postgres=# show audit_space_limit;
audit_space_limit
-------------------
2GB
(1 row)
示例输出（节选）
postgres=# select * from pg_query_audit('2026-09-03 08:00:00','2026-09-03 23:59:59');
（节选）time | type | result | username | database | client_conninfo
---------------------+--------------+----------------+----------+----------+------------------
2026-09-03 09:15:22 | LOGIN_LOGOUT | LOGIN_SUCCESS | appuser | postgres | @ 192.168.10.30
2026-09-03 09:16:03 | DML | SUCCESS | appuser | postgres | @ 192.168.10.30
（登录记录 detail_info 末尾含 "SSL=on"）
示例输出（节选）
postgres=# show ssl;
ssl
-----
on
(1 row)
postgres=# show require_ssl;
require_ssl
-------------
on
(1 row)
**高风险提示**：远程管理与重要业务连接明文传输（ssl=off 且无其他密码技术补偿）属高风险情形。对应判定详见 [22、高风险判定指引与加固对照表](../../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
### A. 传输过程保密性
```sql
show ssl;
show require_ssl;
show ssl_ciphers;
```
- **备注**：应证明数据库管理连接、重要业务连接在传输过程中采用密码技术保护；客户端默认 sslmode=prefer，仅 prefer 不能保证强制加密，建议现场演示以 verify-ca/verify-full 连接并截图。
- **预期证据**：SSL 参数截图、客户端加密连接截图、远程运维链路说明。
示例输出（节选）
postgres=# show ssl;
ssl
-----
on
(1 row)
示例输出（节选）
postgres=# show password_encryption_type;
password_encryption_type
--------------------------
2
(1 row)
postgres=# show enable_tde;
enable_tde
------------
off
(1 row)
**高风险提示**：重要数据无本地备份、有备份但从未验证恢复属高风险情形。对应判定详见 [22、高风险判定指引与加固对照表](../../../../reinforce/其他系统或设备/22高风险判定指引与加固对照表/)。
### A. 本地数据备份与恢复
```bash
which gs_basebackup gs_dump gs_dumpall gs_restore # 确认备份与恢复工具随库安装（只读）
gs_basebackup --version # 工具版本（-V 等价，只读）
gs_dump --version
```
```bash
# 备份能力演示（会产生磁盘 I/O，须避开业务高峰并经管理员同意）：
# 物理全量备份：gs_basebackup 仅支持主机/备机的全量备份，不支持增量；-D 目录需提前创建
gs_basebackup -D /data/backup/base_$(date +%F) -h 127.0.0.1 -p 8000
# 逻辑导出：-F p 纯文本，另有 t/c/d 归档格式（归档格式须与 gs_restore 配合恢复）
gs_dump -U omm -f /data/backup/appdb_$(date +%F).sql -p 8000 -F p postgres
```
- **备注**：结合备份脚本、计划任务、备份文件保留期和恢复演练记录综合判断；openGauss 生产环境亦常配套数据库管理员自研或第三方备份平台，以现场实际部署为准。归档格式备份的恢复依赖 gs_restore，gs_dumpall 负责库级设置（含用户）导出。
- **预期证据**：备份任务截图、备份文件清单截图、恢复演练记录、工具版本截图。
示例输出（节选）
$ gs_basebackup --version
gs_basebackup (openGauss 6.0.0 build xxxxxxxx) compiled at 2025-02-28 20:05:53 commit 0000 last_mr 0000
$ gs_basebackup -D /data/backup/base_20260903 -h 127.0.0.1 -p 8000
INFO: The starting position of the xlog copy of the full build is: 0/1B800000. The slot minimum LSN is: 0/1B800000.
示例输出（节选）
[ Cluster State ]
cluster_state : Normal
redistributing : No
current_az : AZ_ALL
[ Datanode State ]
node node_ip port instance state
----------------------------------------------------------------
1 node1 192.168.10.11 8000 6001 /data/og/dn1 P Primary Normal
2 node2 192.168.10.12 8000 6002 /data/og/dn2 S Standby Normal
示例输出（节选）
# pg_hba.conf（节选）
local all all trust
host all jack 10.10.0.50/32 sha256
hostssl all all 192.168.10.0/24 sha256
host all all 10.10.0.1/32 reject