使用AWS Glue写入PostgreSQL时遭遇SSL handshake_failure问题求助

问题描述 #

使用AWS Glue通过DynamicFrame及Glue Catalog写入PostgreSQL时，触发SSL error: handshake_failure错误，但以下操作均正常：

• Glue控制台测试已创建的连接（未配置任何SSL细节），连接测试成功
• Glue Crawler可正常运行

已尝试但无效的操作：

• 添加多种JDBC字符串参数（如ssl=true&sslmode=allow等）
• 配置S3存储桶中的证书路径

解决方案 #

1. 校验PostgreSQL端的SSL配置 #

• 检查pg_hba.conf，确认Glue作业所在IP段的连接规则允许SSL连接，或匹配对应的SSL验证模式
• 查看postgresql.conf中的ssl_ciphers配置，确保包含Glue Java环境支持的加密套件（Glue默认Java环境支持的套件可能与PostgreSQL默认配置存在差异）

2. 使用正确的JDBC参数组合 #

避免零散设置参数，尝试完整的SSL参数配置：

• 基础SSL验证（无需证书）：

ssl=true&sslmode=require&sslfactory=org.postgresql.ssl.DefaultJavaSSLFactory

• 需要证书验证的场景：

ssl=true&sslmode=verify-full&sslrootcert=s3://your-bucket/path/to/root.crt&sslfactory=org.postgresql.ssl.DefaultJavaSSLFactory

注意：确保S3路径下的根证书为PostgreSQL服务器信任的证书，且Glue作业的IAM角色拥有该S3路径的读取权限。

3. 检查Glue作业的IAM角色权限 #

• 确保角色拥有glue:GetConnection权限，能正确读取Glue Catalog中的连接配置
• 若PostgreSQL部署在VPC内，需确认Glue作业已配置正确的VPC、子网和安全组，允许访问PostgreSQL的5432端口

4. 更新PostgreSQL JDBC驱动版本 #

Glue默认的JDBC驱动版本可能较旧，不支持新的SSL协议或加密套件：

• 将最新版PostgreSQL JDBC驱动（如42.6.0）上传至S3存储桶
• 在Glue作业的Job parameters中添加参数：

--extra-jars s3://your-bucket/path/to/postgresql-42.6.0.jar

• 确保Glue作业的Java版本（Glue 3.0+支持Java 8/11）与驱动版本兼容

5. 查看详细调试日志 #

在Glue作业配置中开启详细日志，通过CloudWatch Logs（路径如/aws-glue/jobs/output、/aws-glue/jobs/error）查看SSL握手阶段的具体错误细节，比如缺失的加密套件、证书验证失败原因等，进一步定位问题。

内容的提问来源于stack exchange，提问作者Paul