このレコードはUnixドメインソケットを使用する接続に対応します。 この種類のレコードを使用しないと、Unixドメインソケット経由の接続は拒否されます。

このレコードは、TCP/IPを使用した接続に対応します。 hostレコードは、SSLまたは非SSL接続、GSSAPI暗号化、非GSSAPI暗号化のいずれかに対応します。

このレコードは、接続がSSLで暗号化されている場合にのみTCP/IPネットワークを使用する接続に対応します。

このオプションを使用するためには、サーバはSSLサポートができるように構築されていなければいけません。 また、 SSLはsslパラメータを設定することによりサーバの起動時に有効になっていなくてはなりません（詳細は19.9を参照してください）。 そうでなければ、どのような接続にも対応していないという警告が表示されることを除き、hostsslレコードは無視されます。

このレコードは、hostsslと反対の動作で、SSLを使用していないTCP/IPの接続のみに対応します。

このレコードは、TCP/IPを使用した接続に対応しますが、GSSAPI暗号化を使用して接続が行われた場合に限ります。

このオプションを使用するためには、サーバはGSSAPIサポートができるように構築されていなければいけません。 そうでなければ、どのような接続にも対応していないという警告が表示されることを除き、hostgssencレコードは無視されます。

このレコードは、hostgssencとは反対の動作で、GSSAPI暗号化を使用していないTCP/IPの接続のみに対応します。

このレコードで対応するデータベース名を指定します。 all という値は、全てのデータベースと対応することを指定します。 sameuserという値は、要求されたデータベースが要求ユーザと同じ名前を持つ場合にレコードが対応することを指定します。 sameroleという値は、要求ユーザが要求されたデータベースと同じ名前のロールのメンバでなければならないことを指定します。 （以前はsamegroupと書いていましたが、sameroleと記述してください） スーパーユーザは、直接的であれ間接的であれ、明示的にsameroleのメンバでない限りsameroleのメンバとはみなされません。 また、スーパーユーザであるからといってsameroleのメンバとはみなされません。 replicationという値は、もし物理レプリケーション接続が要求された場合にレコードが一致することを指定します。 しかし、論理レプリケーションによる接続には一致しません。 物理レプリケーション接続は特定のデータベースを指定しないのに対し、論理レプリケーション接続は特定のデータベースを指定することに注意して下さい。 それ以外の場合には、特定のPostgreSQLデータベースの名前になります。 データベースの名前はカンマで区切ることで複数指定できます。 データベース名を含む別のファイルを、そのファイル名の前に@を付けることで指定できます。

このレコードで対応するデータベースユーザを指定します。 allという値は、全てのユーザが対応することを指定します。 それ以外の場合には特定のデータベースユーザの名前もしくは+で始まるグループ名のどちらかになります。 （PostgreSQLではユーザとグループの明確な区別がないことを思い出してください。 +のマークは、「このロールの直接的もしくは間接的なメンバのどちらかに一致していること」を意味しています。 一方、+のマークのない名前は特定のロールにのみ一致します） このため、スーパーユーザは、直接的であれ間接的であれ明示的にロールのメンバである場合にのみ、ロールのメンバとみなされます。 スーパーユーザであるからといってロールのメンバとはみなされません。 ユーザ名は、カンマで区切ることで複数指定できます。 ユーザ名を含む別のファイルを、そのファイル名の前に@を付けることで指定できます。

このレコードに対応しているクライアントマシンのアドレス。 このフィールドはホスト名、IPアドレスの範囲、もしくは下記の特別なキーワードの1つを含んでいます。

IPアドレスの範囲は、範囲の開始アドレス、続いてスラッシュ(/)とCIDRマスクの長さという標準の数値表記で指定されます。 CIDRマスク長とは、クライアントIPアドレスが一致しなければならない、高位のビット数を表すものです。 指定するIPアドレスのこれより右側のビットには、0を指定しなければなりません。 IPアドレスと/、およびCIDRマスク長の間には空白を入れてはいけません。

典型的なIPv4アドレス範囲の例は、単一のホストでは172.20.143.89/32、小規模ネットワークでは172.20.143.0/24、大規模ネットワークでは10.6.0.0/16のようなものです。 IPv6アドレスの範囲は、単一のホストでは::1/128(この場合はIPv6ループバックアドレス)、小規模ネットワークではfe80::7a31:c1ff:0000:0000/96のようなものです。 0.0.0.0/0は全てのIPv4アドレスを意味します。また、::0/0は全てのIPv6アドレスを意味しています。 単一ホストを指定するには、IPv4では32、IPv6では128というマスク長を使用してください。 ネットワークアドレスでは末尾の0を省略できません。

IPv4書式で与えられたエントリは、IPv4接続のみに対応し、IPv6書式で与えられた項目は、たとえそのアドレスがIPv6内のIPv4の範囲内であったとしてもIPv6接続のみに対応します。 IPv6書式の項目は、システムのCライブラリがIPv6アドレスをサポートしていない場合拒絶されることに注意してください。

どのIPアドレスにも一致するようにallと書くこともできますし、 サーバ自身のIPアドレスのいずれかにも一致するようにsamehostと書くこともできます。 もしくは、サーバが直接接続されているサブネット内のアドレスのいずれかにも一致するようにsamenetと書くことができます。

もし、ホスト名（IPアドレスの範囲ではない場合の全て、もしくはホスト名として処理される特別なキーワード）が指定されている場合は、その名前は、クライアントのIPアドレスの逆引き名前解決の結果と比較されます（例えば、もしDNSが使用されている場合は逆引きDNS検索により解決されます）。 ホスト名の比較は、大文字小文字が区別されません。 もし一致するものがあった場合は、解決された、どのアドレスもクライアントのIPアドレスと等しいか否かをチェックするために（例えば、正引きDNS検索のような）ホスト名の正引き名前解決が実行されます。 もし正引き、逆引きの両方で一致した場合は、エントリは一致するものとみなされます。 （pg_hba.conf内で使用されているホスト名は、クライアントのIPアドレスのアドレス-名前解決が返すホスト名の1つでなければいけません。 もしそうでなければこの行は一致しません。 1つのIPアドレスを複数のホスト名に関連付けるホスト名データベースもありますが、IPアドレスの解決を要求された場合にオペレーティングシステムは1つのホスト名のみを返します。）

ドット（.）で始まるホスト名の特定は実際のホスト名のサフィックスに一致します。 よって、.example.comは、foo.example.comに一致します （example.comだけでは一致しません）。

ホスト名がpg_hba.conf内で指定されている場合、名前解決が適度に早いことを 確かめてください。 nscdのようなローカル名前解決のキャッシュを設定すると便利です。 また、クライアントのIPアドレスの代わりにホスト名がログで見られるように、log_hostnameの 設定パラメータを有効化することもできます。

これらのフィールドはlocalレコードには適用されません。

この2つのフィールドはIP-address/mask-length表記の代替として使用可能です。 マスク長を指定する代わりに、実際のマスクを分離した列で指定します。 例えば255.0.0.0はIPv4のCIDRマスク長8を意味し、255.255.255.255はCIDRマスク長32を意味しています。

これらのフィールドはlocalレコードには適用されません。

接続がこのレコードに一致する場合に使用する認証方式を指定します。 使用できる選択肢は以下にまとめていますが、詳しくは21.3を参照してください。 すべてのオプションは小文字で、大文字小文字の区別が認識されます。ですから、ldapのような頭文字であっても小文字で指定しなければなりません。

auth-methodフィールドの後ろに、 認証方式のオプションを指定する、name=valueの形式のフィールドが存在する可能性があります。 どのオプションがどの認証方式に使用できるのか、についての詳細は以下で説明します。

以下に示された方式特定のオプションに加えて、方式に依存しないのひとつの認証オプションclientcertがあり、hostsslレコードで指定することができます。 このオプションは、verify-caまたはverify-fullに設定できます。 どちらのオプションも、クライアントに有効な（信頼された）SSL証明書の提出を要求し、verify fullは、証明書のcn（Common Name）がユーザー名または適用可能なマッピングと一致することをさらに強制します。 この動作はcert認証方式（詳細は21.12を参照してください）に似ていますが、クライアント証明書の検証をhostsslエントリをサポートする任意の認証方式と組み合わせることができます。

クライアント証明書認証を使用するすべてのレコード（つまり、cert認証方式あるいはclientcertオプションを使用している）では、clientnameオプションを使ってクライアント証明書資格情報のどの部分を照合するかを指定することができます。 このオプションは2つの値のうち1つを持つことができます。 デフォルトであるclientname=CNを指定すると、ユーザ名は証明書のCommon Name (CN)と照合されます。 その代わりにclientname=DNを指定すると、ユーザ名は証明書のDistinguished Name (DN)全体と照合されます。 このオプションはおそらくユーザ名マップとともに使うのが最善です。 RFC 2253のDNと比較されます。 この形式のクライアント証明書のDNを参照するには以下のようにしてください。

openssl x509 -in myclient.crt -noout --subject -nameopt RFC2253 | sed "s/^subject=//"

このオプションを使ってDNに対して正規表現を使って比較を行う際にはとりわけ注意が必要です。