如何在AWS Lambda（Linux客户端）中建立与SQL Server的SSL信任

可用替代方法 #

• 代码中自定义证书验证逻辑
  启用SqlClient的自定义证书验证开关，注册回调函数直接验证服务器证书：

  // 启用托管网络栈与自定义证书验证
  AppContext.SetSwitch("Switch.Microsoft.Data.SqlClient.UseManagedNetworkingOnLinux", true);
  AppContext.SetSwitch("Switch.Microsoft.Data.SqlClient.AllowCustomSslCertificateValidation", true);
  
  // 注册证书验证回调
  SqlConnection.RegisterColumnEncryptionCertificateValidatorCallback((certificate, chain, sslPolicyErrors) =>
  {
      // 加载部署包中的自签名证书
      var trustedCert = new X509Certificate2("/opt/certs/server.cer");
      // 对比证书指纹确认信任
      return certificate.Thumbprint.Equals(trustedCert.Thumbprint, StringComparison.OrdinalIgnoreCase);
  });
  
  // 正常初始化数据库连接或DbContext
  using var context = new YourDbContext();
  

  需将自签名证书打包到Lambda部署包的certs目录，部署后对应路径为/opt/certs。

• 配置自定义证书目录环境变量
  利用OpenSSL的证书查找机制，设置环境变量指向自定义证书目录：

  1. 将CER格式证书转换为PEM格式：openssl x509 -inform der -in server.cer -out server.pem
  2. 重命名PEM文件为sqlserver.crt，放入部署包的certs目录
  3. 在Lambda控制台设置环境变量SSL_CERT_DIR=/opt/certs

• EF Core上下文集成证书验证
  在DbContext的配置中嵌入验证逻辑：

  protected override void OnConfiguring(DbContextOptionsBuilder optionsBuilder)
  {
      AppContext.SetSwitch("Switch.Microsoft.Data.SqlClient.UseManagedNetworkingOnLinux", true);
      AppContext.SetSwitch("Switch.Microsoft.Data.SqlClient.AllowCustomSslCertificateValidation", true);
  
      SqlConnection.RegisterColumnEncryptionCertificateValidatorCallback((cert, chain, errors) =>
      {
          var trustedCert = new X509Certificate2("/opt/certs/server.cer");
          return cert.Thumbprint == trustedCert.Thumbprint;
      });
  
      optionsBuilder.UseSqlServer("Data Source=xxxxxxx;Initial Catalog=xxxxxxx;Integrated Security=false;Encrypt=True;TrustServerCertificate=False");
  }
  

注意事项 #

• 确保证书文件权限正确，Lambda对/opt目录有读取权限
• 转换证书格式时避免文件损坏，PEM是Linux环境OpenSSL的标准格式
• 启用UseManagedNetworkingOnLinux开关是自定义验证生效的前提，让SqlClient脱离系统OpenSSL配置

内容的提问来源于stack exchange，提问作者Erik Farrell