1.1データベースサーバ構築

Silver で学んだ「動く」構築から、Gold では「監査に耐え、暗号化され、改ざんを検知できる」構築へと視点が上がります。本番運用のサーバは、通信経路の暗号化、パスワードの安全な検証方式、誰が何をしたかを追える監査ログ、そしてディスク破損を早期に検知するチェックサムが揃って初めて「構築完了」と言えます。この節ではその4本柱を、実際にサーバを固める順序で見ていきます。

1.1.1SSL通信とデータ暗号化

• SSL＝クライアント-サーバ間の通信路を暗号化する仕組み。postgresql.conf の ssl = on で有効化し、サーバ証明書・秘密鍵（ssl_cert_file／ssl_key_file）を用意する。pg_hba.conf の hostssl 行で SSL 接続のみ許可する運用も可能。
• pgcrypto＝拡張機能（CREATE EXTENSION pgcrypto）。通信経路ではなく保存データそのものを暗号化する用途で、crypt()（パスワードハッシュ）・pgp_sym_encrypt()/pgp_sym_decrypt()（対称鍵暗号）などの関数を提供する。SSL がカバーしない「保存データの暗号化」を補う。
• pg_stat_ssl＝各バックエンドの SSL 接続状況（使用有無・プロトコルバージョン・暗号スイート）を確認するシステムビュー。pid で pg_stat_activity と結合すれば「どのセッションが SSL 化されているか」を監査できる。

1.1.2クライアント認証と監査ログ

• SCRAM-SHA-256＝pg_hba.conf で選べる認証方式の中で最も安全なパスワード認証。md5 はハッシュがカタログに残り再生攻撃に弱い面があるが、SCRAM-SHA-256 はチャレンジ・レスポンス方式でパスワード自体を送受信しない。新規構築では既定 (password_encryption = scram-sha-256) として採用する。
• 監査ログの中核は log_statement（none/ddl/mod/all。実行された SQL 文自体をログに記録する範囲）。track_functions（PL/pgSQL 関数呼び出しの統計を pg_stat_user_functions に集計するか）と track_activities（現在実行中のクエリを pg_stat_activity に反映するか）は監査ログではなく稼働統計・監視の設定で、log_statement と区別する。
• ALTER ROLE・ALTER DATABASE＝ユーザー単位／データベース単位で SET パラメータを固定する。例：ALTER ROLE app_user SET statement_timeout = '30s' のように、特定ロールにだけ挙動を強制できる。監査要件で「このユーザーは必ず全文ログを取る」なら ALTER ROLE audit_user SET log_statement = 'all' のように使う。

新規サーバ構築の実務フローを追いましょう。まず initdb --data-checksums でクラスタを初期化します。これはinitdb の実行後には有効化できない構築時にしか選べないオプションで、以後すべてのページにチェックサムが付き、ディスクの物理破損（ビット化け）を読み取り時に検知できるようになります。次に postgresql.conf で ssl = on にしてサーバ証明書を配置し、pg_hba.conf の各行で認証方式を scram-sha-256 に統一します（既存 md5 行が残っていれば置き換え）。監査要件があれば log_statement = 'mod'（更新系のみ記録）や track_functions = pl（PL 言語の関数のみ集計）のように用途に応じて絞り込み、特定の重要ロールにだけ ALTER ROLE finance_admin SET log_statement = 'all' で全文ログを強制します。保存データのうち特に機微な列（例：マイナンバーやクレジットカード番号）は pgcrypto の pgp_sym_encrypt(column, key) で暗号化して格納し、参照時に pgp_sym_decrypt() で復号します。構築後、実際に SSL が効いているかは SELECT pid, ssl, version, cipher FROM pg_stat_ssl JOIN pg_stat_activity USING (pid); のようなクエリで確認します。クラスタのディレクトリ構造も把握しておく必要があります。pg_tblspc はテーブルスペースへのシンボリックリンクが置かれるディレクトリ、pg_wal（旧称 pg_xlog）は WAL セグメントファイルが置かれるディレクトリ、pg_stat_tmp は統計情報の一時ファイルが置かれるディレクトリで、stats_temp_directory パラメータで場所を変更できます（tmpfs に置いてディスク I/O を削減する運用もある）。

1.1.3この節のまとめ

• SSL＝通信路暗号化／pgcrypto＝保存データ暗号化。pg_stat_ssl で暗号化状況を確認。認証はSCRAM-SHA-256が最も安全
• 監査ログ＝log_statement(SQL文)／稼働統計＝track_functions(関数統計)・track_activities(実行中クエリ)（track_* は監査ログではない）。ALTER ROLE/DATABASEでユーザー/DB単位に固定
• initdb --data-checksums は構築時のみ選択可。クラスタ内はpg_tblspc(テーブルスペースリンク)・pg_wal(WAL)・pg_stat_tmp(統計一時ファイル)