当前位置：首页 > 行业动态 > 正文

如何为GaussDB配置SSL认证证书确保数据安全？

admin
行业动态
2025-04-26
4905

GaussDB配置SSL证书需先生成CA及服务器证书，修改数据库参数启用SSL支持，指定证书路径并重启服务，通过客户端连接验证加密状态，确保数据传输安全，有效防止中间人攻击与信息泄露风险。

操作前的准备

证书文件准备
- 需具备CA签发的有效证书,或通过OpenSSL生成自签名证书（仅建议测试环境使用）。
- 证书文件通常包括：
  • 服务端证书（server.crt）
  • 私钥文件（server.key）
  • CA根证书（ca.crt）
环境权限检查
- 确保GaussDB安装目录有读写权限（如/gaussdb/data）。
- 建议将证书文件存放于专属目录（如/gaussdb/ssl），并设置权限为600。

配置GaussDB服务端

生成自签名证书（可选）
若未获取正式证书，可使用以下命令生成临时证书：

# 生成CA私钥和证书
openssl req -new -x509 -days 365 -nodes -out ca.crt -keyout ca.key
# 生成服务器私钥和证书请求
openssl req -new -nodes -out server.csr -keyout server.key
# 用CA签发服务器证书
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365

修改数据库配置文件
编辑GaussDB的postgresql.conf文件，添加以下参数：

ssl = on
ssl_cert_file = '/gaussdb/ssl/server.crt'
ssl_key_file = '/gaussdb/ssl/server.key'
ssl_ca_file = '/gaussdb/ssl/ca.crt'

重启数据库服务
```
gs_ctl restart -D /gaussdb/data
```

客户端连接设置

客户端证书配置

如果启用了双向认证（mTLS），客户端需提供证书：
• 客户端证书（client.crt）
• 客户端私钥（client.key）

连接字符串示例：

gsql -h 192.168.1.100 -p 5432 -U dbuser -d mydb 
     --set=sslmode=verify-ca 
     --set=sslrootcert=/path/to/ca.crt 
     --set=sslcert=/path/to/client.crt 
     --set=sslkey=/path/to/client.key

SSL模式说明
| 模式 | 安全性 | 说明 |
|—————|——–|——————————–|
| disable | 无 | 完全禁用SSL |
| allow | 低 | 优先非SSL，失败后尝试SSL |
| prefer | 中 | 优先SSL，失败后尝试非SSL |
| require | 高 | 强制SSL，不验证证书有效性 |
| verify-ca | 更高 | 验证CA签名，不检查主机名匹配 |
| verify-full | 最高 | 严格验证CA签名与主机名一致性 |

配置验证与问题排查

服务端状态检查

SELECT name, setting FROM pg_settings WHERE name LIKE 'ssl%';

预期输出：

 name        | setting  
-------------+---------
 ssl         | on  
 ssl_ca_file | /gaussdb/ssl/ca.crt  
 ...

客户端连接测试
使用openssl工具验证端口是否开放SSL：
```
openssl s_client -connect 192.168.1.100:5432 -starttls postgres
```
若看到证书链信息和SSL-Session状态码为0，则表示配置成功。
常见错误处理
- 证书权限问题
  错误提示：Private key file has wrong permissions
  修复方法：执行chmod 600 server.key
- 证书过期
  错误提示：SSL error: certificate verify failed
  修复方法：检查证书有效期，使用openssl x509 -in server.crt -noout -dates
- CA不匹配
  错误提示：unable to get local issuer certificate
  修复方法：确认客户端使用的CA证书与服务端一致

安全强化建议

证书生命周期管理
- 设置日历提醒,在证书到期前30天进行更新
- 使用自动化工具（如Certbot）管理Let’s Encrypt证书
密钥保护策略
- 私钥必须存储在加密磁盘分区
- 禁止通过非加密通道传输密钥文件
审计与监控
- 启用GaussDB的log_connections和log_disconnections参数
- 定期分析日志中的ssl_cipher字段，确认加密套件符合安全标准（如禁用TLS 1.1）