本地连接SAP BTP远程PostgreSQL实例遇证书错误求助

核心前提：必须通过SSH隧道连接 #

BTP上的PostgreSQL实例不允许直接公网访问，第一步必须建立SSH隧道映射本地端口到远程实例：

1. 登录Cloud Foundry CLI：

   cf login
   

   按提示输入BTP API地址、用户名密码、目标组织和空间。
2. 执行隧道映射命令（替换占位符）：

   cf ssh -L 2641:<postgres-host>:<postgres-port> <your-bound-app-name>
   

   • <postgres-host>和<postgres-port>：从服务密钥的host和port字段获取
   • <your-bound-app-name>：绑定该PostgreSQL实例的Cloud Foundry应用名称
     执行后保持终端窗口打开，隧道持续生效。

步骤1：准备SSL证书文件 #

从BTP服务密钥中提取以下三个字段内容，分别保存为本地文件：

• sslrootcert → 保存为root.crt
• sslcert → 保存为client.crt
• sslkey → 保存为client.key

关键权限设置（Linux/macOS） #

私钥文件client.key必须设置严格权限，否则PostgreSQL会拒绝使用：

chmod 600 client.key

Windows用户需确保文件仅当前用户可读，避免权限过宽。

步骤2：psql命令行连接 #

直接执行带完整SSL参数的命令（替换占位符）：

psql "host=localhost port=2641 dbname=<dbname> user=<username> sslmode=verify-full sslrootcert=./root.crt sslcert=./client.crt sslkey=./client.key"

• <dbname>：服务密钥中的dbname字段
• <username>：服务密钥中的username字段
• 证书路径如果不在当前目录，请填写绝对路径（如/home/user/certs/root.crt）

步骤3：pgAdmin4图形界面配置 #

1. 打开pgAdmin4，点击「New Server」创建新连接
2. General标签：填写任意服务器名称
3. Connection标签：
   • Host name/address：localhost
   • Port：2641
   • Maintenance database：<dbname>（服务密钥中的dbname）
   • Username：<username>（服务密钥中的username）
   • Password：服务密钥中的password（可勾选Save Password）
4. SSL标签：
   • SSL mode：选择Verify-Full
   • Root certificate：选择本地保存的root.crt
   • Client certificate：选择client.crt
   • Client key：选择client.key
5. 点击「Save」完成配置，即可连接

常见问题排查 #

• 证书复制错误：检查服务密钥中的证书内容是否完整复制到本地文件，不要遗漏首尾的-----BEGIN CERTIFICATE-----/-----END CERTIFICATE-----标记
• SSL mode错误：必须设置为Verify-Full，其他模式（如Require）无法通过BTP的证书验证
• SSH隧道中断：确保建立隧道的终端窗口未关闭，若断开需重新执行cf ssh命令
• 文件权限问题：Linux/macOS下私钥权限必须为600，否则会触发证书无效错误

内容的提问来源于stack exchange，提问作者Vivek