如何使用VDS服务账户启动PostgreSQL服务（适配服务器重启场景）

我之前在企业环境里碰到过一模一样的问题——公司安全策略会清掉本地系统账户，包括PostgreSQL默认的postgres用户，折腾了好一阵才搞定，给你一套用VDS创建服务账户的可行方案：

首先得在VDS域里建一个专门给PostgreSQL用的服务账户，这样就不会被本地安全策略清理了：

• 登录VDS管理控制台，创建一个服务账户（比如命名为svc_postgres），记得设置成不可交互式登录（符合企业安全规范），并且指定和原来本地postgres用户一致的UID/GID，避免后续权限混乱。
• 如果习惯用命令行操作，也可以用ldapadd工具导入LDIF文件来创建账户，示例LDIF内容如下：

  dn: cn=svc_postgres,ou=service accounts,dc=yourcompany,dc=com
  objectClass: top
  objectClass: person
  objectClass: organizationalPerson
  objectClass: user
  cn: svc_postgres
  sn: svc_postgres
  userPrincipalName: svc_postgres@yourcompany.com
  sAMAccountName: svc_postgres
  userAccountControl: 512  # 标记为启用账户+不可交互式登录
  uidNumber: 26  # 和原postgres用户UID保持一致
  gidNumber: 26  # 和原postgres用户GID保持一致
  homeDirectory: /var/lib/pgsql
  loginShell: /bin/bash  # 若PostgreSQL不需要交互式shell，也可以设为/bin/nologin
  

  执行导入命令：

  ldapadd -x -D "cn=admin,dc=yourcompany,dc=com" -W -f postgres_svc_account.ldif
  

接下来要让RHEL7系统能识别这个VDS域账户，一般用SSSD来做域用户同步：

• 编辑SSSD配置文件/etc/sssd/sssd.conf，添加或修改VDS域的配置段：

  [domain/yourcompany.com]
  id_provider = ldap
  auth_provider = ldap
  ldap_uri = ldap://vds-server.yourcompany.com
  ldap_search_base = dc=yourcompany,dc=com
  ldap_user_search_base = ou=service accounts,dc=yourcompany,dc=com
  ldap_group_search_base = ou=service groups,dc=yourcompany,dc=com
  ldap_id_use_start_tls = True
  cache_credentials = True
  

• 重启SSSD服务让配置生效：

  systemctl restart sssd
  

• 验证账户是否能被系统识别：

  id svc_postgres
  

  能输出UID、GID和组信息就说明同步成功了。

现在要把PostgreSQL的运行账户换成刚创建的VDS服务账户：

• 找到PostgreSQL的systemd服务文件，比如对应10版本的路径是/usr/lib/systemd/system/postgresql-10.service，编辑文件把User=postgres和Group=postgres改成User=svc_postgres和Group=svc_postgres。
• 调整PostgreSQL数据目录和日志目录的权限，确保归VDS账户所有：

  chown -R svc_postgres:svc_postgres /var/lib/pgsql/data
  chown -R svc_postgres:svc_postgres /var/log/postgresql
  

• 重新加载systemd配置并重启PostgreSQL服务：

  systemctl daemon-reload
  systemctl restart postgresql-10
  

最后一定要和公司的安全团队沟通，把这个VDS服务账户加入安全策略的豁免列表——虽然域账户一般不会被本地清理工具删掉，但有些严格的策略可能会扫描所有账户，提前确认避免后续踩坑。

重启服务器后，先检查VDS账户是否存在：

id svc_postgres

再查看PostgreSQL服务状态：

systemctl status postgresql-10

如果服务正常运行，就说明问题解决了！

内容的提问来源于stack exchange，提问作者Ron