This record matches connection attempts using Unix-domain sockets. Without a record of this type, Unix-domain socket connections are disallowed. このレコードはUnixドメインソケットを使用する接続に対応します。 この種類のレコードを使用しないと、Unixドメインソケット経由の接続は拒否されます。

This record matches connection attempts made using TCP/IP. <literal>host</literal> records match <acronym>SSL</acronym> or non-<acronym>SSL</acronym> connection attempts as well as <acronym>GSSAPI</acronym> encrypted or non-<acronym>GSSAPI</acronym> encrypted connection attempts. このレコードは、TCP/IPを使用した接続に対応します。 hostレコードは、SSLまたは非SSL接続、GSSAPI暗号化、非GSSAPI暗号化のいずれかに対応します。

This record matches connection attempts made using TCP/IP, but only when the connection is made with <acronym>SSL</acronym> encryption. このレコードは、接続がSSLで暗号化されている場合にのみTCP/IPネットワークを使用する接続に対応します。

To make use of this option the server must be built with <acronym>SSL</acronym> support. Furthermore, <acronym>SSL</acronym> must be enabled by setting the <xref linkend="guc-ssl"/> configuration parameter (see <xref linkend="ssl-tcp"/> for more information). Otherwise, the <literal>hostssl</literal> record is ignored except for logging a warning that it cannot match any connections. このオプションを使用するためには、サーバはSSLサポートができるように構築されていなければいけません。 また、 SSLはsslパラメータを設定することによりサーバの起動時に有効になっていなくてはなりません（詳細は18.9を参照してください）。 そうでなければ、どのような接続にも対応していないという警告が表示されることを除き、hostsslレコードは無視されます。

This record type has the opposite behavior of <literal>hostssl</literal>; it only matches connection attempts made over TCP/IP that do not use <acronym>SSL</acronym>. このレコードは、hostsslと反対の動作で、SSLを使用していないTCP/IPの接続のみに対応します。

This record matches connection attempts made using TCP/IP, but only when the connection is made with <acronym>GSSAPI</acronym> encryption. このレコードは、TCP/IPを使用した接続に対応しますが、GSSAPI暗号化を使用して接続が行われた場合に限ります。

To make use of this option the server must be built with <acronym>GSSAPI</acronym> support. Otherwise, the <literal>hostgssenc</literal> record is ignored except for logging a warning that it cannot match any connections. このオプションを使用するためには、サーバはGSSAPIサポートができるように構築されていなければいけません。 そうでなければ、どのような接続にも対応していないという警告が表示されることを除き、hostgssencレコードは無視されます。

This record type has the opposite behavior of <literal>hostgssenc</literal>; it only matches connection attempts made over TCP/IP that do not use <acronym>GSSAPI</acronym> encryption. このレコードは、hostgssencとは反対の動作で、GSSAPI暗号化を使用していないTCP/IPの接続のみに対応します。

Specifies which database name(s) this record matches. The value <literal>all</literal> specifies that it matches all databases. The value <literal>sameuser</literal> specifies that the record matches if the requested database has the same name as the requested user. The value <literal>samerole</literal> specifies that the requested user must be a member of the role with the same name as the requested database. (<literal>samegroup</literal> is an obsolete but still accepted spelling of <literal>samerole</literal>.) Superusers are not considered to be members of a role for the purposes of <literal>samerole</literal> unless they are explicitly members of the role, directly or indirectly, and not just by virtue of being a superuser. The value <literal>replication</literal> specifies that the record matches if a physical replication connection is requested, however, it doesn't match with logical replication connections. Note that physical replication connections do not specify any particular database whereas logical replication connections do specify it. Otherwise, this is the name of a specific <productname>PostgreSQL</productname> database or a regular expression. Multiple database names and/or regular expressions can be supplied by separating them with commas. このレコードで対応するデータベース名を指定します。 all という値は、全てのデータベースと対応することを指定します。 sameuserという値は、要求されたデータベースが要求ユーザと同じ名前を持つ場合にレコードが対応することを指定します。 sameroleという値は、要求ユーザが要求されたデータベースと同じ名前のロールのメンバでなければならないことを指定します。 （以前はsamegroupと書いていましたが、sameroleと記述してください。） スーパーユーザは、直接的であれ間接的であれ、明示的にsameroleのメンバでない限りsameroleのメンバとはみなされません。 また、スーパーユーザであるからといってsameroleのメンバとはみなされません。 replicationという値は、もし物理レプリケーション接続が要求された場合にレコードが一致することを指定します。 しかし、論理レプリケーションによる接続には一致しません。 物理レプリケーション接続は特定のデータベースを指定しないのに対し、論理レプリケーション接続は特定のデータベースを指定することに注意してください。 それ以外の場合には、特定のPostgreSQLデータベースの名前または正規表現になります。 データベースの名前や正規表現はカンマで区切ることで複数指定できます。

If the database name starts with a slash (<literal>/</literal>), the remainder of the name is treated as a regular expression. (See <xref linkend="posix-syntax-details"/> for details of <productname>PostgreSQL</productname>'s regular expression syntax.) データベース名がスラッシュ(/)で始まる場合、名前の残りの部分は正規表現として扱われます。 （PostgreSQLの正規表現構文の詳細については、9.7.3.1を参照してください。）

A separate file containing database names and/or regular expressions can be specified by preceding the file name with <literal>@</literal>. データベース名や正規表現を含む別のファイルを、そのファイル名の前に@を付けることで指定できます。

Specifies which database user name(s) this record matches. The value <literal>all</literal> specifies that it matches all users. Otherwise, this is either the name of a specific database user, a regular expression (when starting with a slash (<literal>/</literal>), or a group name preceded by <literal>+</literal>. (Recall that there is no real distinction between users and groups in <productname>PostgreSQL</productname>; a <literal>+</literal> mark really means <quote>match any of the roles that are directly or indirectly members of this role</quote>, while a name without a <literal>+</literal> mark matches only that specific role.) For this purpose, a superuser is only considered to be a member of a role if they are explicitly a member of the role, directly or indirectly, and not just by virtue of being a superuser. Multiple user names and/or regular expressions can be supplied by separating them with commas. このレコードで対応するデータベースユーザ名を指定します。 allという値は、全てのユーザが対応することを指定します。 それ以外の場合には特定のデータベースユーザの名前、（スラッシュ(/)で始まる場合には）正規表現、もしくは+で始まるグループ名のいずれかになります。 （PostgreSQLではユーザとグループの明確な区別がないことを思い出してください。 +のマークは実のところ、「このロールの直接的もしくは間接的なメンバのどちらかに一致していること」を意味しています。 一方、+のマークがない名前はその特定のロールにのみ一致します。） このため、スーパーユーザは、直接的であれ間接的であれ明示的にロールのメンバである場合にのみ、ロールのメンバとみなされます。 スーパーユーザであるからといってロールのメンバとはみなされません。 ユーザ名や正規表現は、カンマで区切ることで複数指定できます。

If the user name starts with a slash (<literal>/</literal>), the remainder of the name is treated as a regular expression. (See <xref linkend="posix-syntax-details"/> for details of <productname>PostgreSQL</productname>'s regular expression syntax.) ユーザ名がスラッシュ(/)で始まる場合、名前の残りの部分は正規表現として扱われます。 （PostgreSQLの正規表現構文の詳細については、9.7.3.1を参照してください。）

A separate file containing user names and/or regular expressions can be specified by preceding the file name with <literal>@</literal>. ユーザ名や正規表現を含む別のファイルを、そのファイル名の前に@を付けることで指定できます。

Specifies the client machine address(es) that this record matches. This field can contain either a host name, an IP address range, or one of the special key words mentioned below. このレコードに対応しているクライアントマシンのアドレス。 このフィールドはホスト名、IPアドレスの範囲、もしくは下記の特別なキーワードの1つを含んでいます。

An IP address range is specified using standard numeric notation for the range's starting address, then a slash (<literal>/</literal>) and a <acronym>CIDR</acronym> mask length. The mask length indicates the number of high-order bits of the client IP address that must match. Bits to the right of this should be zero in the given IP address. There must not be any white space between the IP address, the <literal>/</literal>, and the CIDR mask length. IPアドレスの範囲は、範囲の開始アドレス、続いてスラッシュ(/)とCIDRマスクの長さという標準の数値表記で指定されます。 CIDRマスク長とは、クライアントIPアドレスが一致しなければならない、高位のビット数を表すものです。 指定するIPアドレスのこれより右側のビットには、0を指定しなければなりません。 IPアドレスと/、およびCIDRマスク長の間に空白を入れてはいけません。

Typical examples of an IPv4 address range specified this way are <literal>172.20.143.89/32</literal> for a single host, or <literal>172.20.143.0/24</literal> for a small network, or <literal>10.6.0.0/16</literal> for a larger one. An IPv6 address range might look like <literal>::1/128</literal> for a single host (in this case the IPv6 loopback address) or <literal>fe80::7a31:c1ff:0000:0000/96</literal> for a small network. <literal>0.0.0.0/0</literal> represents all IPv4 addresses, and <literal>::0/0</literal> represents all IPv6 addresses. To specify a single host, use a mask length of 32 for IPv4 or 128 for IPv6. In a network address, do not omit trailing zeroes. 典型的なIPv4アドレス範囲の例は、単一のホストでは172.20.143.89/32、小規模ネットワークでは172.20.143.0/24、大規模ネットワークでは10.6.0.0/16のようなものです。 IPv6アドレスの範囲は、単一のホストでは::1/128(この場合はIPv6ループバックアドレス)、小規模ネットワークではfe80::7a31:c1ff:0000:0000/96のようなものです。 0.0.0.0/0は全てのIPv4アドレスを意味します。また、::0/0は全てのIPv6アドレスを意味しています。 単一ホストを指定するには、IPv4では32、IPv6では128というマスク長を使用してください。 ネットワークアドレスでは末尾の0を省略できません。

An entry given in IPv4 format will match only IPv4 connections, and an entry given in IPv6 format will match only IPv6 connections, even if the represented address is in the IPv4-in-IPv6 range. IPv4書式で与えられたエントリは、IPv4接続のみに対応し、IPv6書式で与えられた項目は、たとえそのアドレスがIPv6内のIPv4の範囲内であったとしてもIPv6接続のみに対応します。

You can also write <literal>all</literal> to match any IP address, <literal>samehost</literal> to match any of the server's own IP addresses, or <literal>samenet</literal> to match any address in any subnet that the server is directly connected to. どのIPアドレスにも一致するようにallと書くこともできますし、 サーバ自身のIPアドレスのいずれかにも一致するようにsamehostと書くこともできます。 もしくは、サーバが直接接続されているサブネット内のアドレスのいずれかにも一致するようにsamenetと書くことができます。

If a host name is specified (anything that is not an IP address range or a special key word is treated as a host name), that name is compared with the result of a reverse name resolution of the client's IP address (e.g., reverse DNS lookup, if DNS is used). Host name comparisons are case insensitive. If there is a match, then a forward name resolution (e.g., forward DNS lookup) is performed on the host name to check whether any of the addresses it resolves to are equal to the client's IP address. If both directions match, then the entry is considered to match. (The host name that is used in <filename>pg_hba.conf</filename> should be the one that address-to-name resolution of the client's IP address returns, otherwise the line won't be matched. Some host name databases allow associating an IP address with multiple host names, but the operating system will only return one host name when asked to resolve an IP address.) もし、ホスト名（IPアドレスの範囲ではない場合の全て、もしくはホスト名として処理される特別なキーワード）が指定されている場合は、その名前は、クライアントのIPアドレスの逆引き名前解決の結果と比較されます（例えば、もしDNSが使用されている場合は逆引きDNS検索により解決されます）。 ホスト名の比較は、大文字小文字が区別されません。 もし一致するものがあった場合は、解決された、どのアドレスもクライアントのIPアドレスと等しいか否かをチェックするために（例えば、正引きDNS検索のような）ホスト名の正引き名前解決が実行されます。 もし正引き、逆引きの両方で一致した場合は、エントリは一致するものとみなされます。 （pg_hba.conf内で使用されているホスト名は、クライアントのIPアドレスのアドレス-名前解決が返すホスト名の1つでなければいけません。 もしそうでなければこの行は一致しません。 1つのIPアドレスを複数のホスト名に関連付けるホスト名データベースもありますが、IPアドレスの解決を要求された場合にオペレーティングシステムは1つのホスト名のみを返します。）

A host name specification that starts with a dot (<literal>.</literal>) matches a suffix of the actual host name. So <literal>.example.com</literal> would match <literal>foo.example.com</literal> (but not just <literal>example.com</literal>). ドット（.）で始まるホスト名の特定は実際のホスト名のサフィックスに一致します。 よって、.example.comは、foo.example.comに一致します （example.comだけでは一致しません）。

When host names are specified in <filename>pg_hba.conf</filename>, you should make sure that name resolution is reasonably fast. It can be of advantage to set up a local name resolution cache such as <command>nscd</command>. Also, you may wish to enable the configuration parameter <varname>log_hostname</varname> to see the client's host name instead of the IP address in the log. ホスト名がpg_hba.conf内で指定されている場合、名前解決が適度に早いことを 確かめてください。 nscdのようなローカル名前解決のキャッシュを設定すると便利です。 また、クライアントのIPアドレスの代わりにホスト名がログで見られるように、log_hostnameの 設定パラメータを有効化することもできます。

These fields do not apply to <literal>local</literal> records. これらのフィールドはlocalレコードに適用されません。

These two fields can be used as an alternative to the <replaceable>IP-address</replaceable><literal>/</literal><replaceable>mask-length</replaceable> notation. Instead of specifying the mask length, the actual mask is specified in a separate column. For example, <literal>255.0.0.0</literal> represents an IPv4 CIDR mask length of 8, and <literal>255.255.255.255</literal> represents a CIDR mask length of 32. この2つのフィールドはIP-address/mask-length表記の代替として使用可能です。 マスク長を指定する代わりに、実際のマスクを分離した列で指定します。 例えば255.0.0.0はIPv4のCIDRマスク長8を意味し、255.255.255.255はCIDRマスク長32を意味しています。

These fields do not apply to <literal>local</literal> records. これらのフィールドはlocalレコードに適用されません。

Specifies the authentication method to use when a connection matches this record. The possible choices are summarized here; details are in <xref linkend="auth-methods"/>. All the options are lower case and treated case sensitively, so even acronyms like <literal>ldap</literal> must be specified as lower case. 接続がこのレコードに一致する場合に使用する認証方式を指定します。 使用できる選択肢は以下にまとめていますが、詳しくは20.3を参照してください。 すべてのオプションは小文字で、大文字小文字の区別が認識されます。ですから、ldapのような頭文字であっても小文字で指定しなければなりません。

After the <replaceable>auth-method</replaceable> field, there can be field(s) of the form <replaceable>name</replaceable><literal>=</literal><replaceable>value</replaceable> that specify options for the authentication method. Details about which options are available for which authentication methods appear below. auth-methodフィールドの後ろに、 認証方式のオプションを指定する、name=valueの形式のフィールドが存在する可能性があります。 どのオプションがどの認証方式に使用できるのか、についての詳細は以下で説明します。

In addition to the method-specific options listed below, there is a method-independent authentication option <literal>clientcert</literal>, which can be specified in any <literal>hostssl</literal> record. This option can be set to <literal>verify-ca</literal> or <literal>verify-full</literal>. Both options require the client to present a valid (trusted) SSL certificate, while <literal>verify-full</literal> additionally enforces that the <literal>cn</literal> (Common Name) in the certificate matches the username or an applicable mapping. This behavior is similar to the <literal>cert</literal> authentication method (see <xref linkend="auth-cert"/>) but enables pairing the verification of client certificates with any authentication method that supports <literal>hostssl</literal> entries. 以下に示された方式特定のオプションに加えて、方式に依存しないのひとつの認証オプションclientcertがあり、hostsslレコードで指定できます。 このオプションは、verify-caまたはverify-fullに設定できます。 どちらのオプションも、クライアントに有効な（信頼された）SSL証明書の提出を要求し、verify fullは、証明書のcn（Common Name）がユーザ名または適用可能なマッピングと一致することをさらに強制します。 この動作はcert認証方式（詳細は20.12を参照してください）に似ていますが、クライアント証明書の検証をhostsslエントリをサポートする任意の認証方式と組み合わせることができます。

On any record using client certificate authentication (i.e. one using the <literal>cert</literal> authentication method or one using the <literal>clientcert</literal> option), you can specify which part of the client certificate credentials to match using the <literal>clientname</literal> option. This option can have one of two values. If you specify <literal>clientname=CN</literal>, which is the default, the username is matched against the certificate's <literal>Common Name (CN)</literal>. If instead you specify <literal>clientname=DN</literal> the username is matched against the entire <literal>Distinguished Name (DN)</literal> of the certificate. This option is probably best used in conjunction with a username map. The comparison is done with the <literal>DN</literal> in <ulink url="https://datatracker.ietf.org/doc/html/rfc2253">RFC 2253</ulink> format. To see the <literal>DN</literal> of a client certificate in this format, do クライアント証明書認証を使用するすべてのレコード（つまり、cert認証方式あるいはclientcertオプションを使用している）では、clientnameオプションを使ってクライアント証明書資格情報のどの部分を照合するかを指定できます。 このオプションは2つの値のうち1つを持つことができます。 デフォルトであるclientname=CNを指定すると、ユーザ名は証明書のCommon Name (CN)と照合されます。 その代わりにclientname=DNを指定すると、ユーザ名は証明書のDistinguished Name (DN)全体と照合されます。 このオプションはおそらくユーザ名マップとともに使うのが最善です。 RFC 2253のDNと比較されます。 この形式のクライアント証明書のDNを参照するには以下のようにしてください。

openssl x509 -in myclient.crt -noout -subject -nameopt RFC2253 | sed "s/^subject=//"

Care needs to be taken when using this option, especially when using regular expression matching against the <literal>DN</literal>. このオプションを使ってDNに対して正規表現を使った比較を行う際にはとりわけ注意が必要です。

This line will be replaced by the contents of the given file. この行は、指定したファイルの内容に置き換えられます。

This line will be replaced by the content of the given file if the file exists. Otherwise, a message is logged to indicate that the file has been skipped. ファイルが存在する場合、この行は指定したファイルの内容に置き換えられます。 存在しない場合は、ファイルがスキップされたことを示すメッセージが記録されます。

This line will be replaced by the contents of all the files found in the directory, if they don't start with a <literal>.</literal> and end with <literal>.conf</literal>, processed in file name order (according to C locale rules, i.e., numbers before letters, and uppercase letters before lowercase ones). ファイル名が.で始まらず、.confで終わる場合、この行は、そのディレクトリで見つかったすべてのファイルの内容に置き換えられ、ファイル名の順(Cロケールの規則に従って、すなわち、文字より先に数字、小文字より先に大文字)に処理されます。