AWS Beanstalk执行RDS迁移时遇PostgreSQL pg_hba.conf错误求助

问题本质 #

你遇到的ERROR: no pg_hba.conf entry for host "xx.xx.xxx.xx", user "postgres", database "postgres", no encryption错误，核心原因是AWS RDS作为托管数据库，不允许用户直接修改pg_hba.conf文件——你本地修改的配置完全不会作用到云端的RDS实例，这是最容易踩的坑。

分步解决 #

1. 处理加密连接要求 #

错误提示里的no encryption说明你的迁移请求用了非加密连接，但RDS默认可能强制SSL：

• 启用SSL连接：在Node.js的PostgreSQL连接配置中添加SSL参数，示例：

  const { Client } = require('pg');
  const client = new Client({
    host: 'your-rds-endpoint',
    user: 'postgres',
    password: 'your-db-password',
    database: 'postgres',
    ssl: { rejectUnauthorized: false } // 测试环境可用，生产环境建议配置官方CA证书
  });
  

• 允许非加密连接：进入AWS控制台的RDS实例详情页，在关联的参数组中修改rds.force_ssl为0，保存后重启RDS实例生效。

2. 校验安全组与VPC配置 #

确保Elastic Beanstalk环境能访问RDS的5432端口：

• 打开RDS实例的安全组配置，添加入站规则：
  • 类型：PostgreSQL（端口5432）
  • 来源：选择Elastic Beanstalk环境对应的安全组，或直接填入错误中的xx.xx.xxx.xxIP
• 检查VPC网络ACL，确认没有阻止5432端口的入站/出站流量（默认ACL无需修改，除非手动调整过）

3. 通过RDS参数组配置认证规则 #

RDS用参数组替代手动修改pg_hba.conf：

• 进入RDS参数组，找到pg_hba_rules参数（部分PostgreSQL版本支持），添加规则：

  host    postgres     postgres     xx.xx.xxx.xx/32     scram-sha-256
  

  其中xx.xx.xxx.xx/32是EB环境的公网IP，认证方式选scram-sha-256或md5（匹配你的RDS用户认证设置）
• 保存参数组后重启RDS实例，让配置生效

验证步骤 #

修改完成后：

1. 先测试Node.js基础数据库连接是否正常
2. 再执行迁移命令
3. 若仍报错，检查：
   • 迁移工具的连接字符串是否包含正确的SSL参数
   • RDS实例是否处于可用状态（重启后需等待数分钟）
   • EB环境与RDS是否在同一VPC（不同VPC需配置对等连接或开启RDS公网访问）

内容的提问来源于stack exchange，提问作者sal__ftw