Este registro corresponde às tentativas de conexão usando soquetes de domínio Unix. Sem um registro desse tipo, as conexões por soquete de domínio Unix não são permitidas.

Este registro corresponde às tentativas de conexão feitas usando TCP/IP. Os registros host correspondem a tentativas de conexão SSL, ou não, bem como às tentativas de conexão usando GSSAPI, encriptadas ou não.

Este registro corresponde às tentativas de conexão feitas usando TCP/IP, mas somente quando a conexão é feita com encriptação SSL.

Para usar esta opção, o servidor deve ser construído com suporte a SSL. Além disso, o SSL deve ser ativado definindo o parâmetro de configuração ssl (veja Conexões TCP/IP seguras com SSL para obter mais informações). Caso contrário, o registro hostssl é ignorado, exceto para registrar um aviso de não poder corresponder a nenhuma conexão.

Este tipo de registro tem o comportamento oposto a hostssl; corresponde apenas às tentativas de conexão feitas por TCP/IP que não usam SSL.

Este tipo de registro corresponde às tentativas de conexão feitas usando TCP/IP, mas somente quando a conexão é feita com encriptação GSSAPI.

Para usar esta opção, o servidor deve ser construído com suporte a GSSAPI. Caso contrário, o registro hostgssenc é ignorado, exceto para registrar um aviso de não poder corresponder a nenhuma conexão.

Este tipo de registro tem o comportamento oposto a hostgssenc; corresponde apenas às tentativas de conexão feitas por TCP/IP que não usam a encriptação GSSAPI.

Especifica a qual(is) nome(s) de banco de dados este registro corresponde. O valor all especifica que corresponde a todos os bancos de dados. O valor sameuser especifica que o registro irá corresponder se o banco de dados solicitado tiver o mesmo nome do usuário solicitante. O valor samerole especifica que o usuário solicitante deve ser membro de uma função de banco de dados com o mesmo nome do banco de dados solicitado (samegroup é uma grafia obsoleta, mas ainda aceita, de samerole). Os superusuários não são considerados membros da função de banco de dados para fins de samerole, a menos que sejam explicitamente membros da função de banco de dados, direta ou indiretamente, e não apenas em virtude de ser um superusuário. O valor replication especifica que o registro irá corresponder se for solicitada uma conexão de replicação física, entretanto não corresponde a conexões de replicação lógica. Note-se que as conexões de replicação física não especificam nenhum banco de dados específico, enquanto as conexões de replicação lógica especificam. Caso contrário, trata-se do nome de um banco de dados do PostgreSQL específico ou de uma expressão regular. Podem ser fornecidos vários nomes de banco de dados e/ou expressões regulares, separados por vírgulas.

Se o nome do banco de dados começar por uma barra (/), o restante do nome será tratado como uma expressão regular. (Veja Detalhes sobre expressões regulares para obter informações sobre a sintaxe de expressões regulares do PostgreSQL.)

Pode ser especificado um arquivo separado contendo nomes de bancos de dados e/ou expressões regulares precedendo o nome do arquivo com @.

Especifica a qual(is) nome(s) de usuário do banco de dados este registro corresponde. O valor all especifica que corresponde a todos os usuários. Caso contrário, trata-se do nome de um usuário específico do banco de dados ou de uma expressão regular (quando iniciado por uma barra) (/), ou um nome de grupo quando iniciado por +. (Lembre-se de que não há distinção real entre usuários e grupos no PostgreSQL; um caractere + inicial significa realmente que “corresponde a qualquer uma das funções de banco de dados (roles) que sejam direta ou indiretamente membros desta função de banco de dados”, enquanto um nome sem o caractere + inicial corresponde apenas àquela função de banco de dados específica.) Para esta finalidade, um superusuário só é considerado membro de uma função de banco de dados se for explicitamente membro dessa função de banco de dados, direta ou indiretamente, e não apenas por ser um superusuário. Podem ser fornecidos vários nomes de usuário e/ou expressões regulares separados por vírgulas.

Se o nome do usuário começar por uma barra (/), o restante do nome será tratado como uma expressão regular. (Veja Detalhes sobre expressões regulares para obter informações sobre a sintaxe de expressões regulares do PostgreSQL.)

Pode ser especificado um arquivo separado contendo nomes de usuários e/ou expressões regulares precedendo o nome do arquivo com @.

Especifica o(s) endereço(s) da máquina cliente aos quais este registro corresponde. Este campo pode conter um nome de hospedeiro, um intervalo de endereços de IP, ou uma das palavras-chave especiais mencionadas abaixo.

O intervalo de endereços de IP é especificado usando a notação numérica padrão para o endereço inicial do intervalo, seguido por uma barra (/), e o comprimento de máscara CIDR (Classless Inter-Domain Routing). O comprimento da máscara indica o número de bits de ordem superior do endereço de IP do cliente que deve corresponder. Os bits à direita devem ser zero no endereço de IP fornecido. Não deve haver nenhum espaço em branco entre o endereço IP, a /, e o comprimento da máscara CIDR.

Exemplos típicos de intervalo de endereço de IPv4 especificado dessa maneira são 172.20.143.89/32 para um único hospedeiro, 172.20.143.0/24 para uma pequena rede, ou 10.6.0.0/16 para uma rede maior. Um intervalo de endereços de IPv6 pode parecer ::1/128 para um único hospedeiro (neste caso, o endereço de loopback IPv6), ou fe80::7a31:c1ff:0000:0000/96 para uma pequena rede. 0.0.0.0/0 representa todos os endereços IPv4, e ::0/0 representa todos os endereços de IPv6. Para especificar um único hospedeiro é usado o comprimento de máscara de 32 para o IPv4, ou 128 para IPv6. Em um endereço de rede os zeros à direita não são omitidos.

Uma entrada fornecida no formato IPv4 corresponderá apenas a conexões IPv4, e uma entrada fornecida no formato IPv6 corresponderá apenas a conexões IPv6, mesmo que o endereço representado esteja no intervalo IPv4-no-IPv6. Note-se que as entradas no formato IPv6 serão rejeitadas se a biblioteca C do sistema não tiver suporte para endereços de IPv6.

Também pode ser escrito all para corresponder a qualquer endereço de IP, samehost para corresponder a qualquer endereço IP do próprio servidor, ou samenet para corresponder a qualquer endereço em qualquer sub-rede à qual o servidor está diretamente conectado.

Se for especificado um nome de hospedeiro (qualquer coisa que não seja um intervalo de endereços de IP, ou uma palavra-chave especial, será tratado como nome de hospedeiro), este nome será comparado com o resultado de uma resolução de nome reversa do endereço de IP do cliente (por exemplo, pesquisa de DNS reversa, se for usado o DNS). As comparações de nomes de hospedeiro não diferenciam letras maiúsculas de minúsculas. Havendo correspondência, uma resolução de nome de encaminhamento (por exemplo, pesquisa de DNS de encaminhamento) é executada no nome do hospedeiro para verificar se algum dos endereços para os quais ele resolve é igual ao endereço IP do cliente. Se as duas direções corresponderem, a entrada será considerada correspondente. (O nome do hospedeiro usado em pg_hba.conf deve ser aquele que a resolução de endereço para nome do endereço de IP do cliente retorna, caso contrário a entrada não será correspondida. Alguns bancos de dados de nomes de hospedeiro permitem associar um endereço de IP a vários nomes de hospedeiro, mas o sistema operacional retornará apenas um nome de hospedeiro quando solicitado a resolver um endereço de IP.)

Uma especificação de nome de hospedeiro começando por um ponto (.), corresponde ao sufixo do nome do hospedeiro real. Portanto, .example.com corresponde a foo.example.com (mas não a example.com apenas).

Quando são especificados nomes de hospedeiro no arquivo pg_hba.conf, deve-se certificar que a resolução de nomes seja razoavelmente rápida. Pode ser vantajoso configurar um cache de resolução de nome local, como o nscd. Além disso, se pode ativar o parâmetro de configuração log_hostname para ver o nome de hospedeiro do cliente, em vez do endereço de IP, no registro.

Estes campos não se aplicam a registros do tipo local.

Estes dois campos podem ser usados ​​como uma alternativa à notação endereço_de_IP/​comprimento_da_máscara. Em vez de especificar o comprimento da máscara, a máscara real é especificada em uma coluna separada. Por exemplo, 255.0.0.0 representa um comprimento de máscara CIDR IPv4 de 8, e 255.255.255.255 representa um comprimento de máscara CIDR de 32.

Estes campos não se aplicam a registros do tipo local.

Especifica o método de autenticação a ser usado quando uma conexão corresponder a este registro. As escolhas possíveis estão resumidas aqui; os detalhes estão em Métodos de autenticação. Todas as opções são em letras minúsculas, e tratadas fazendo distinção entre letras maiúsculas e minúsculas, portanto, mesmo acrônimos como ldap devem ser especificados com letras minúsculas.

Após o campo método_de_autenticação, podem existir campos com a forma nome=valor que especificam opções para o método de autenticação. Detalhes sobre quais opções estão disponíveis para quais métodos de autenticação estão descritos abaixo.

Além das opções específicas do método listadas abaixo, há a opção de autenticação clientcert independente do método, que pode ser especificada em qualquer registro hostssl. Esta opção pode ser definida como verify-ca, ou verify-full. As duas opções exigem que o cliente apresente um certificado SSL válido (confiável), enquanto verify-full reforça adicionalmente que o cn (nome comum) no certificado corresponda ao nome do usuário, ou a um mapeamento aplicável. Este comportamento é semelhante ao método de autenticação cert (veja Autenticação por certificado), mas permite parear a verificação de certificados de cliente com qualquer método de autenticação que suporte entradas hostssl.

Em qualquer registro usando autenticação de certificado do cliente (ou seja, usando o método de autenticação cert, ou usando a opção clientcert), pode-se especificar qual parte das credenciais do certificado do cliente deve corresponder usando a opção clientname. Esta opção pode ter um dos dois valores possíveis. Se for especificado clientname=CN, o padrão, o nome do usuário será comparado com o Common Name (CN) do certificado. Se, em vez disso, for especificado clientname=DN, o nome do usuário será comparado com todo o Distinguished Name (DN) do certificado. Esta opção é provavelmente melhor usada em conjunto com um mapa de nome de usuário. A comparação é feita com o DN no formato do RFC 2253. Para ver o DN de um certificado de cliente neste formato, se executa:

openssl x509 -in myclient.crt -noout -subject -nameopt RFC2253 | sed "s/^subject=//"

Deve-se tomar cuidado ao usar esta opção, especialmente ao usar correspondência de expressão regular com o DN.

Esta linha será substituída pelo conteúdo do arquivo especificado.

Esta linha será substituída pelo conteúdo do arquivo especificado, caso o arquivo exista. Caso contrário, uma mensagem é registrada indicando que o arquivo foi ignorado.

Esta linha será substituída pelo conteúdo de todos os arquivos encontrados no diretório, se não começarem por ponto (.) e terminarem por .conf, processados ​​na ordem de nome do arquivo (segundo as regras de localidade C, ou seja, números antes das letras e letras maiúsculas antes das minúsculas).