未导入rds-ca-rsa2048-g1证书仍能连接RDS Postgres？求正确配置

为什么未导入rds-ca-rsa2048-g1证书仍能建立连接？ #

rds-ca-rsa2048-g1是由Amazon Root CA直接签发的中间CA证书，Java的SSL验证采用链式信任机制：只要你的truststore里信任根证书（也就是你导入的Amazon Root CA），就能自动验证由该根证书签发的所有下级证书，包括RDS使用的这个中间CA，所以不需要单独导入rds-ca-rsa2048-g1，连接依然能通过SSL校验。

另外注意你的JDBC连接URL有个小问题：参数之间必须用&分隔，原URL里的?searchpath=dataset?ssl=true会导致后续参数解析异常，只是当前环境没触发问题，建议修正为：

jdbc:postgresql://my-db-name.ajsa891hjkdas.eu-central-1.rds.amazonaws.com:5432/mydb?searchpath=dataset&ssl=true&sslmode=require

正确配置SSL连接的步骤 #

• 确认RDS的SSL状态：登录RDS控制台，查看目标实例的“配置”标签，确认SSL已启用，且CA证书类型为rds-ca-rsa2048-g1。
• 优化JDBC连接参数：将sslmode从require改为verify-full，这个参数会强制验证服务器证书的域名是否匹配，比require更安全（require只要求加密连接，但不校验证书合法性），修正后的URL：

  jdbc:postgresql://my-db-name.ajsa891hjkdas.eu-central-1.rds.amazonaws.com:5432/mydb?searchpath=dataset&ssl=true&sslmode=verify-full
  

• 调整truststore配置（可选但更严谨）：
  • 若想缩小信任范围，只信任RDS的CA证书，可以将rds-ca-rsa2048-g1证书导入到truststore，命令示例：

    keytool -importcert -file rds-ca-rsa2048-g1.pem -alias rds-ca -keystore app/truststore.jks -storepass mypass
    

  • 保持现有导入Amazon Root CA的配置也是合法的，只是信任范围覆盖所有由该根证书签发的证书。
• 验证SSL连接有效性：连接数据库后执行以下SQL，返回t则表示SSL连接已生效：

  SELECT ssl FROM pg_stat_activity WHERE pid = pg_backend_pid();
  

内容的提问来源于stack exchange，提问作者Alegres