\u00c9tape 1 \u2014 Installer PostgreSQL sur les 3 n\u0153uds PostgreSQL<\/h3>\n\n\n\n# Sur postgres-01, postgres-02, postgres-03\nsudo apt update\nsudo apt install -y postgresql-common\n# postgresql-common : fournit le script de configuration du d\u00e9p\u00f4t PGDG\n\nsudo \/usr\/share\/postgresql-common\/pgdg\/apt.postgresql.org.sh\n# Ce script ajoute le d\u00e9p\u00f4t apt officiel de PostgreSQL (postgresql.org)\n# et importe sa cl\u00e9 GPG \u2014 garantit que vous obtenez la derni\u00e8re version de PostgreSQL,\n# et non la version plus ancienne int\u00e9gr\u00e9e \u00e0 Ubuntu\n\nsudo apt update\nsudo apt install -y postgresql-18 postgresql-contrib-18\n# Installe la version 18 explicitement \u2014 le m\u00e9ta-paquet g\u00e9n\u00e9rique \"postgresql\" installe la version\n# par d\u00e9faut int\u00e9gr\u00e9e \u00e0 Ubuntu (16) en plus de la version PGDG, laissant deux versions install\u00e9es\n# Sp\u00e9cifiez toujours le num\u00e9ro de version pour \u00e9viter cela\n# postgresql-contrib-18 : modules suppl\u00e9mentaires, y compris pg_rewind, que Patroni utilise\n# pour resynchroniser l'ancien primaire apr\u00e8s un basculement sans sauvegarde de base compl\u00e8te<\/code><\/pre>\n\n\n\n\u00c9tape 2 \u2014 Arr\u00eatez et d\u00e9sactivez le service PostgreSQL<\/h3>\n\n\n\n# Sur postgres-01, postgres-02, postgres-03\nsudo systemctl stop postgresql\n# Patroni g\u00e8re enti\u00e8rement le d\u00e9marrage de PostgreSQL\n# Si PostgreSQL est d\u00e9j\u00e0 en cours d'ex\u00e9cution lorsque Patroni d\u00e9marre, Patroni \u00e9chouera avec :\n# \" postmaster est d\u00e9j\u00e0 en cours d'ex\u00e9cution \"\n\nsudo systemctl disable postgresql\n# Emp\u00eache PostgreSQL de d\u00e9marrer automatiquement au d\u00e9marrage\n# Le propre service systemd de Patroni d\u00e9marre PostgreSQL lorsque le n\u0153ud rejoint le cluster<\/code><\/pre>\n\n\n\n
\n\n\n\n4. Installation d'etcd<\/h2>\n\n\n\n\u00c9tape 1 \u2014 Installer etcd sur les 3 n\u0153uds PostgreSQL<\/h3>\n\n\n\n# Sur postgres-01, postgres-02, postgres-03\nsudo apt-get install -y wget curl\n\nwget https:\/\/github.com\/etcd-io\/etcd\/releases\/download\/v3.6.10\/etcd-v3.6.10-linux-amd64.tar.gz\n# T\u00e9l\u00e9charger le binaire etcd directement depuis les releases GitHub\n# Le paquet apt est souvent obsol\u00e8te \u2014 toujours installer depuis les releases officielles\n# V\u00e9rifier sur https:\/\/github.com\/etcd-io\/etcd\/releases la derni\u00e8re version stable\n\ntar xvf etcd-v3.6.10-linux-amd64.tar.gz\n# xvf : extraire (x), verbose (v), from file (f)\n\nsudo mv etcd-v3.6.10-linux-amd64\/etcd \/usr\/local\/bin\/\nsudo mv etcd-v3.6.10-linux-amd64\/etcdctl \/usr\/local\/bin\/\n# etcd : le binaire serveur etcd\n# etcdctl : l'interface en ligne de commande client etcd \u2014 utilis\u00e9e pour les v\u00e9rifications d'int\u00e9grit\u00e9 et l'inspection de l'\u00e9tat du cluster\n\n# V\u00e9rifier l'installation\netcd --version\n# Attendu : etcd Version : 3.6.10\n# Si \"etcd: command not found\" : \/usr\/local\/bin n'est pas dans le PATH \u2014 ex\u00e9cuter : export PATH=$PATH:\/usr\/local\/bin\n\netcdctl version\n# Attendu : etcdctl version : 3.6.10<\/code><\/pre>\n\n\n\n\u00c9tape 2 \u2014 Cr\u00e9er l'utilisateur syst\u00e8me etcd<\/h3>\n\n\n\n# Sur postgres-01, postgres-02, postgres-03\nsudo useradd --system --home \/var\/lib\/etcd --shell \/bin\/false etcd\n\n# --system : cr\u00e9e un compte syst\u00e8me sans shell de connexion par d\u00e9faut\n# --home \/var\/lib\/etcd : etcd y stocke ses donn\u00e9es\n# --shell \/bin\/false : emp\u00eache la connexion interactive \u2014 etcd s'ex\u00e9cute uniquement en tant que d\u00e9mon<\/code><\/pre>\n\n\n\n
\n\n\n\n5. G\u00e9n\u00e9ration de certificats TLS<\/h2>\n\n\n\n
Tous les certificats sont g\u00e9n\u00e9r\u00e9s une seule fois sur postgres-01 puis distribu\u00e9s aux autres n\u0153uds.<\/p>\n\n\n\n
La cl\u00e9 priv\u00e9e du certificat\n\nLa cl\u00e9 priv\u00e9e du CAca.cl\u00e9<\/code>) reste sur postgres-01 apr\u00e8s la fin de la distribution \u2014 ne le copiez pas sur d'autres n\u0153uds.<\/p>\n\n\n\n\u00c9tape 1 \u2014 Cr\u00e9er le r\u00e9pertoire de travail<\/h3>\n\n\n\n# Sur postgres-01\nmkdir ~\/certs && cd ~\/certs\n# Tous les fichiers de certificat sont cr\u00e9\u00e9s ici avant d'\u00eatre copi\u00e9s sur chaque n\u0153ud<\/code><\/pre>\n\n\n\n\u00c9tape 2 \u2014 G\u00e9n\u00e9rer l'autorit\u00e9 de certification<\/h3>\n\n\n\n# Sur postgres-01\nopenssl genrsa -out ca.key 2048\n# genrsa: g\u00e9n\u00e8re une cl\u00e9 priv\u00e9e RSA ; 2048 : longueur de la cl\u00e9 en bits\n\nopenssl req -x509 -new -nodes -key ca.key -subj \"\/CN=etcd-ca\" -days 7300 -out ca.crt\n# req -x509 : cr\u00e9e un certificat auto-sign\u00e9 (pas une demande de signature)\n# -new -nodes : nouveau certificat, pas de phrase de passe sur la cl\u00e9 priv\u00e9e\n# -subj \"\/CN=etcd-ca\" : le nom commun (Common Name) du certificat \u2014 l'identifie comme le CA du cluster\n# -days 7300 : valide pendant 20 ans\n# ca.crt : distribu\u00e9 \u00e0 chaque n\u0153ud comme racine de confiance<\/code><\/pre>\n\n\n\n\u00c9tape 3 \u2014 G\u00e9n\u00e9rer les certificats etcd par n\u0153ud<\/h3>\n\n\n\n
Chaque n\u0153ud obtient son propre certificat avec son adresse IP comme nom alternatif du sujet (SAN). La v\u00e9rification du nom d'h\u00f4te TLS exige que l'adresse IP du serveur apparaisse dans le SAN \u2013 sans cela, les connexions \u00e9choueront.<\/p>\n\n\n\n
# On postgres-01 \u2014 generate all three node certificates here, then distribute\n\n# Certificate for postgres-01 (192.168.0.203)\nopenssl genrsa -out etcd-node1.key 2048\n\ncat > temp.cnf <<EOF\n[ req ]\ndistinguished_name = req_distinguished_name\nreq_extensions = v3_req\n[ req_distinguished_name ]\n[ v3_req ]\nsubjectAltName = @alt_names\n[ alt_names ]\nIP.1 = 192.168.0.203\nIP.2 = 127.0.0.1\nEOF\n\n# temp.cnf: OpenSSL config that adds the node IP as a SAN\n# IP.2 = 127.0.0.1: allows etcdctl to connect locally without specifying a remote address\n\nopenssl req -new -key etcd-node1.key -out etcd-node1.csr \\\n -subj \"\/CN=etcd-node1\" \\\n -config temp.cnf\n# req -new: generate a certificate signing request (CSR)\n# -subj: the certificate's identity \u2014 CN identifies the node in logs\n\nopenssl x509 -req -in etcd-node1.csr -CA ca.crt -CAkey ca.key \\\n -CAcreateserial -out etcd-node1.crt -days 7300 \\\n -sha256 -extensions v3_req -extfile temp.cnf\n# x509 -req: sign the CSR with the CA to produce a certificate\n# -CAcreateserial: creates ca.srl to track serial numbers across certificates\n# -extensions v3_req -extfile temp.cnf: embed the SANs into the signed certificate\n\nopenssl x509 -in etcd-node1.crt -text -noout | grep -A1 \"Subject Alternative Name\"\n# Verify the SAN was embedded \u2014 Expected: IP Address:192.168.0.203, IP Address:127.0.0.1\n# If the SAN is missing: the -extensions and -extfile flags were not applied correctly\n\nrm temp.cnf\n\n# Certificate for postgres-02 (192.168.0.204)\nopenssl genrsa -out etcd-node2.key 2048\n\ncat > temp.cnf <<EOF\n[ req ]\ndistinguished_name = req_distinguished_name\nreq_extensions = v3_req\n[ req_distinguished_name ]\n[ v3_req ]\nsubjectAltName = @alt_names\n[ alt_names ]\nIP.1 = 192.168.0.204\nIP.2 = 127.0.0.1\nEOF\n\nopenssl req -new -key etcd-node2.key -out etcd-node2.csr \\\n -subj \"\/CN=etcd-node2\" -config temp.cnf\n\nopenssl x509 -req -in etcd-node2.csr -CA ca.crt -CAkey ca.key \\\n -CAcreateserial -out etcd-node2.crt -days 7300 \\\n -sha256 -extensions v3_req -extfile temp.cnf\n\nopenssl x509 -in etcd-node2.crt -text -noout | grep -A1 \"Subject Alternative Name\"\n# Expected: IP Address:192.168.0.204, IP Address:127.0.0.1\nrm temp.cnf\n\n\n# Certificate for postgres-03 (192.168.0.205)\nopenssl genrsa -out etcd-node3.key 2048\n\ncat > temp.cnf <<EOF\n[ req ]\ndistinguished_name = req_distinguished_name\nreq_extensions = v3_req\n[ req_distinguished_name ]\n[ v3_req ]\nsubjectAltName = @alt_names\n[ alt_names ]\nIP.1 = 192.168.0.205\nIP.2 = 127.0.0.1\nEOF\n\nopenssl req -new -key etcd-node3.key -out etcd-node3.csr \\\n -subj \"\/CN=etcd-node3\" -config temp.cnf\n\nopenssl x509 -req -in etcd-node3.csr -CA ca.crt -CAkey ca.key \\\n -CAcreateserial -out etcd-node3.crt -days 7300 \\\n -sha256 -extensions v3_req -extfile temp.cnf\n\nopenssl x509 -in etcd-node3.crt -text -noout | grep -A1 \"Subject Alternative Name\"\n# Expected: IP Address:192.168.0.205, IP Address:127.0.0.1\nrm temp.cnf<\/code><\/pre>\n\n\n\n\u00c9tape 4 \u2014 G\u00e9n\u00e9rer le certificat du serveur PostgreSQL<\/h3>\n\n\n\n
Un certificat partag\u00e9 couvre tous les n\u0153uds PostgreSQL. <\/p>\n\n\n\n
Il est utilis\u00e9 \u00e0 la fois pour les connexions PostgreSQL et pour l'API REST de Patroni.<\/p>\n\n\n\n
# Sur postgres-01\nopenssl genrsa -out server.key 2048\n\nopenssl req -new -key server.key -out server.req\n# Il vous sera demand\u00e9 les d\u00e9tails du certificat \u2014 le nom commun n'est pas critique\n# car les connexions sont v\u00e9rifi\u00e9es par IP SAN, pas par CN\n# L'avertissement \"No -copy_extensions given\" est inoffensif \u2014 le certificat du serveur n'a pas besoin de SAN\nopenssl req -x509 -key server.key -in server.req -out server.crt -days 7300\n# Certificat serveur auto-sign\u00e9 \u2014 sign\u00e9 directement avec server.key, pas avec l'AC\n# Patroni et PostgreSQL utilisent ce certificat pour s'identifier aupr\u00e8s des clients<\/code><\/pre>\n\n\n\n\u00c9tape 5 \u2014 Distribuer les certificats \u00e0 postgres-02 et postgres-03<\/h3>\n\n\n\n
postgres-01 garde ses propres certificats dans ~\/certs \u2014 aucun scp n'est n\u00e9cessaire pour lui.<\/p>\n\n\n\n
# Sur postgres-01\nscp ~\/certs\/ca.crt ~\/certs\/etcd-node2.crt ~\/certs\/etcd-node2.key \\\n ~\/certs\/server.crt ~\/certs\/server.key fernando@192.168.0.204:\/tmp\/\n\nscp ~\/certs\/ca.crt ~\/certs\/etcd-node3.crt ~\/certs\/etcd-node3.key \\\n ~\/certs\/server.crt ~\/certs\/server.key fernando@192.168.0.205:\/tmp\/<\/code><\/pre>\n\n\n\n\u00c9tape 6 \u2014 Installer les certificats sur chaque n\u0153ud PostgreSQL<\/h3>\n\n\n\n
Tous les certificats r\u00e9sident dans \/etc\/etcd\/certs\/<\/code> sur chaque n\u0153ud. <\/p>\n\n\n\nLe r\u00e9pertoire appartient \u00e0 etcd:etcd<\/code> alors le d\u00e9mon etcd peut lire ses certificats. <\/p>\n\n\n\nLe PostgreSQL<\/code> l'utilisateur obtient un acc\u00e8s en lecture via ACL afin que Patroni puisse se connecter \u00e0 etcd.<\/p>\n\n\n\nImportant :<\/strong> d\u00e9finir les permissions de fichier avant de verrouiller le r\u00e9pertoire. <\/p>\n\n\n\nApr\u00e8s chmod 700<\/code> le shell ne peut pas d\u00e9velopper les jokers \u00e0 l'int\u00e9rieur du r\u00e9pertoire en tant qu'utilisateur non root \u2014 utilisez des noms de fichiers explicites.<\/p>\n\n\n\n# Sur postgres-01, postgres-02, postgres-03\nsudo mkdir -p \/etc\/etcd\/certs\nsudo apt-get install -y acl\n# acl : fournit setfacl \u2014 n\u00e9cessaire pour accorder l'acc\u00e8s \u00e0 l'utilisateur postgres sans modifier la propri\u00e9t\u00e9<\/code><\/pre>\n\n\n\nSur postgres-01<\/strong> \u2014 copier depuis ~\/certs (les fichiers n'ont jamais \u00e9t\u00e9 dans \/tmp sur ce n\u0153ud) :<\/p>\n\n\n\nsudo cp ~\/certs\/ca.crt \/etc\/etcd\/certs\/\nsudo cp ~\/certs\/etcd-node1.crt \/etc\/etcd\/certs\/\nsudo cp ~\/certs\/etcd-node1.key \/etc\/etcd\/certs\/\nsudo cp ~\/certs\/server.crt \/etc\/etcd\/certs\/\nsudo cp ~\/certs\/server.key \/etc\/etcd\/certs\/<\/code><\/pre>\n\n\n\nSur postgres-02<\/strong> \u2014 d\u00e9placer depuis \/tmp :<\/p>\n\n\n\nsudo mv \/tmp\/ca.crt \/etc\/etcd\/certs\/\nsudo mv \/tmp\/etcd-node2.crt \/etc\/etcd\/certs\/\nsudo mv \/tmp\/etcd-node2.key \/etc\/etcd\/certs\/\nsudo mv \/tmp\/server.crt \/etc\/etcd\/certs\/\nsudo mv \/tmp\/server.key \/etc\/etcd\/certs\/<\/code><\/pre>\n\n\n\nSur postgres-03<\/strong> \u2014 d\u00e9placer depuis \/tmp :<\/p>\n\n\n\nsudo mv \/tmp\/ca.crt \/etc\/etcd\/certs\/\nsudo mv \/tmp\/etcd-node3.crt \/etc\/etcd\/certs\/\nsudo mv \/tmp\/etcd-node3.key \/etc\/etcd\/certs\/\nsudo mv \/tmp\/server.crt \/etc\/etcd\/certs\/\nsudo mv \/tmp\/server.key \/etc\/etcd\/certs\/<\/code><\/pre>\n\n\n\nSur les trois n\u0153uds<\/strong> \u2014 d\u00e9finissez les permissions puis verrouillez le r\u00e9pertoire :<\/p>\n\n\n\nles certificats etcd doivent appartenir \u00e0 etcd<\/code> \u2014 le d\u00e9mon etcd s'ex\u00e9cute en tant que cet utilisateur. <\/p>\n\n\n\nLes certificats de serveur doivent appartenir \u00e0 PostgreSQL<\/code> \u2014 PostgreSQL s'assure que sa cl\u00e9 priv\u00e9e SSL appartient \u00e0 l'utilisateur de la base de donn\u00e9es ou \u00e0 root. <\/p>\n\n\n\nUtilisation etcd<\/code> La propri\u00e9t\u00e9 entra\u00eenera le refus de d\u00e9marrage de PostgreSQL avec le message : \u201c le fichier de cl\u00e9 priv\u00e9e doit appartenir \u00e0 l'utilisateur de la base de donn\u00e9es ou \u00e0 root \u201d.<\/p>\n\n\n\n# D\u00e9finir d'abord les permissions des fichiers - doit se faire avant chmod 700 sur le r\u00e9pertoire\n# Apr\u00e8s chmod 700, le shell ne peut pas d\u00e9velopper les globs en tant qu'utilisateur non-root\n\n# etcd certs : owned by etcd\n# Sur postgres-01 :\nsudo chown etcd:etcd \/etc\/etcd\/certs\/etcd-node1.crt \/etc\/etcd\/certs\/etcd-node1.key \/etc\/etcd\/certs\/ca.crt\nsudo chmod 600 \/etc\/etcd\/certs\/etcd-node1.key\nsudo chmod 644 \/etc\/etcd\/certs\/etcd-node1.crt \/etc\/etcd\/certs\/ca.crt\n\n# Sur postgres-02 :\nsudo chown etcd:etcd \/etc\/etcd\/certs\/etcd-node2.crt \/etc\/etcd\/certs\/etcd-node2.key \/etc\/etcd\/certs\/ca.crt\nsudo chmod 600 \/etc\/etcd\/certs\/etcd-node2.key\nsudo chmod 644 \/etc\/etcd\/certs\/etcd-node2.crt \/etc\/etcd\/certs\/ca.crt\n\n# Sur postgres-03 :\nsudo chown etcd:etcd \/etc\/etcd\/certs\/etcd-node3.crt \/etc\/etcd\/certs\/etcd-node3.key \/etc\/etcd\/certs\/ca.crt\nsudo chmod 600 \/etc\/etcd\/certs\/etcd-node3.key\nsudo chmod 644 \/etc\/etcd\/certs\/etcd-node3.crt \/etc\/etcd\/certs\/ca.crt\n\n# Server certs : owned by postgres (all three nodes - same files on each)\nsudo chown postgres:postgres \/etc\/etcd\/certs\/server.crt \/etc\/etcd\/certs\/server.key\nsudo chmod 600 \/etc\/etcd\/certs\/server.key\nsudo chmod 644 \/etc\/etcd\/certs\/server.crt\n\n# Verrouillez le r\u00e9pertoire - ex\u00e9cutez cette op\u00e9ration en dernier, apr\u00e8s avoir d\u00e9fini toutes les autorisations de fichiers\nsudo chown etcd:etcd \/etc\/etcd\/certs\nsudo chmod 700 \/etc\/etcd\/certs\n\n# Accorder \u00e0 l'utilisateur postgres l'acc\u00e8s en lecture au r\u00e9pertoire et \u00e0 tous les fichiers qu'il contient\n# Patroni doit lire les certificats etcd pour se connecter avec TLS\nsudo setfacl -R -m u:postgres:rX \/etc\/etcd\/certs\n# -R : appliquer r\u00e9cursivement \u00e0 tous les fichiers ; rX : lire + ex\u00e9cuter sur les r\u00e9pertoires (\u00e0 traverser)<\/code><\/pre>\n\n\n\n\u00c9tape\u00a07\u00a0\u2014 Cr\u00e9er le fichier PEM combin\u00e9 pour Patroni<\/h3>\n\n\n\n
Patroni's