Cloud SQL Proxy连接PostgreSQL 14时出现CN为空的证书匹配错误排查

可能原因 #

• PostgreSQL 14与11的SSL默认配置存在差异：新版本对SSL证书的生成和验证逻辑做了调整，旧代理配置可能未适配。
• 新实例的IAM用户关联缺失：使用postgres用户时，未正确配置Cloud IAM认证关联，导致代理无法获取有效证书。
• 实例SSL配置异常：创建实例时启用了自定义SSL证书，或默认SSL配置未正确初始化，导致证书CN为空。

解决步骤 #

1. 检查并重置实例SSL配置

   • 登录Cloud Console，进入目标PostgreSQL 14实例的「连接」标签，确认SSL状态为「允许仅SSL连接」，且使用Cloud SQL默认证书（不要使用自定义证书）。
   • 若配置异常，执行gcloud sql instances reset-ssl-config <实例名称>重置SSL配置，恢复默认设置。

2. 配置IAM与PostgreSQL用户关联

   • 在实例的「用户」标签下，找到postgres用户，将其身份验证方法设置为「Cloud IAM」，确保关联的服务账号具备Cloud SQL Client角色权限。
   • 对比旧实例proxyuser的配置逻辑，保持IAM认证规则一致。

3. 更新代理配置与版本

   • 使用最新版本的Cloud SQL Auth Proxy镜像（如gcr.io/cloudsql-docker/gce-proxy:latest），避免旧版本对PostgreSQL 14的兼容性问题。
   • 在代理启动命令中添加--enable_iam_login参数，显式开启IAM登录支持，适配PostgreSQL 14的认证要求。

4. 本地验证调试

   • 下载最新版代理二进制文件，执行本地测试命令：

     ./cloud-sql-proxy <项目ID>:<区域>:<实例名称> --credential-file=./服务账号凭证.json --enable_iam_login
     

   • 本地连接成功后，再将更新后的配置部署到GKE集群。

内容的提问来源于stack exchange，提问作者ladhari