pg_hba.confで接続認証を設計する方法｜PostgreSQLに接続できない原因の切り分けとscram-sha-256設定

この記事のポイント

・pg_hba.confのエントリが一致しない限り接続は即拒否される
・PostgreSQL 10以降の推奨認証はscram-sha-256（md5は非推奨）
・接続FATALエラーはメッセージ文言で原因をすぐ特定できる
・設定変更後は再起動不要。pg_ctl reloadで即時反映できる

2026-08-23 10:15:43.821 JST [2894] FATAL:  no pg_hba.conf entry for host "192.168.1.100", user "appuser", database "mydb", SSL off

# psqlで接続してから実行
SHOW hba_file;

postgres=# SHOW hba_file;
              hba_file
-------------------------------------
 /var/lib/pgsql/16/data/pg_hba.conf
(1 row)

postgres=# SHOW hba_file;
               hba_file
--------------------------------------
 /etc/postgresql/16/main/pg_hba.conf
(1 row)

# TYPE  DATABASE  USER  ADDRESS        METHOD
#
# "local" は UNIXドメインソケット接続のみ
local   all       all                  peer
# IPv4ローカル接続:
host    all       all   127.0.0.1/32   scram-sha-256
# IPv6ローカル接続:
host    all       all   ::1/128        scram-sha-256

# rootからpostgresユーザーへ切り替え
sudo -i -u postgres

# 現在有効なルール一覧を確認
psql -c "SELECT line_number, type, database, user_name, address, auth_method FROM pg_hba_file_rules ORDER BY line_number;"

 line_number | type  | database | user_name |  address  |  auth_method
-------------+-------+----------+-----------+-----------+----------------
           1 | local | {all}    | {all}     |           | peer
           2 | host  | {all}    | {all}     | 127.0.0.1 | scram-sha-256
           3 | host  | {all}    | {all}     | ::1       | scram-sha-256
(3 rows)

# RHEL 9.4の場合
cp /var/lib/pgsql/16/data/pg_hba.conf /var/lib/pgsql/16/data/pg_hba.conf.bak.$(date +%Y%m%d)

# Ubuntu 24.04 LTSの場合
cp /etc/postgresql/16/main/pg_hba.conf /etc/postgresql/16/main/pg_hba.conf.bak.$(date +%Y%m%d)

# アプリサーバー(192.168.1.0/24)から mydb へ appuser が scram-sha-256 で接続するのを許可
host    mydb    appuser    192.168.1.0/24    scram-sha-256

host    all     all        192.168.1.0/24    scram-sha-256

# RHEL 9.4（systemd経由）
sudo systemctl reload postgresql-16

# Ubuntu 24.04 LTS（pg_ctlcluster経由）
sudo pg_ctlcluster 16 main reload

# またはpsqlから直接
sudo -u postgres psql -c "SELECT pg_reload_conf();"

# アプリサーバーから接続テスト（DBサーバーIPが192.168.1.10の例）
psql -h 192.168.1.10 -U appuser -d mydb
Password for user appuser:
psql (16.4)
Type "help" for help.

mydb=>

# ハッシュ形式の確認
sudo -u postgres psql
postgres=# SELECT rolname, left(rolpassword, 20) AS passwd_type FROM pg_authid WHERE rolname = 'appuser';
 rolname | passwd_type
---------+---------------------
 appuser | SCRAM-SHA-256$4096:
(1 row)

# md5... で始まっていたらパスワードを再設定してscram形式に変換
postgres=# ALTER USER appuser WITH PASSWORD '新しいパスワード';
ALTER ROLE

# PostgreSQLがポート5432で待ち受けているか確認
sudo ss -tlnp | grep 5432

# 出力例（待ち受け中）
LISTEN  0  128  0.0.0.0:5432  0.0.0.0:*  users:(("postgres",pid=1523,fd=5))

# listen_addressesの現在の設定を確認
sudo -u postgres psql -c "SHOW listen_addresses;"
 listen_addresses
------------------
 localhost
(1 row)

# postgresql.conf を編集して '*' に変更後、再起動（reload不可）
sudo systemctl restart postgresql-16

local   all       postgres                  peer
local   all       all                       scram-sha-256
host    all       all       127.0.0.1/32    scram-sha-256
host    all       all       ::1/128         scram-sha-256

host    mydb     appuser    192.168.1.50/32   scram-sha-256

host    all      all        192.168.10.0/24   scram-sha-256

hostssl all      all        0.0.0.0/0         scram-sha-256

# 先頭でrejectしてから社内セグメントを許可（先頭行優先のルールを活用）
host    all      all        203.0.113.99/32   reject
host    all      all        192.168.1.0/24    scram-sha-256

sudo -u postgres psql -c "
SELECT line_number, type, database, user_name, address, auth_method, error
FROM pg_hba_file_rules
ORDER BY line_number;"

# RHEL 9.4の場合
sudo journalctl -u postgresql-16 --since "1 minute ago"

# 正常なリロード時のログ
Aug 23 10:20:05 dbserver postgres[1423]: LOG:  received SIGHUP, reloading configuration files