PowerBI本地网关与GCP CloudSQL Postgres加密连接报错求助

以下是你可能遗漏的操作步骤，按优先级排查：

• 确认证书导入的格式与存储位置
  你下载的CloudSQL服务器证书是.pem格式，直接导入MMC可能存在格式兼容问题。先通过OpenSSL转换为Windows支持的.crt格式：

  openssl x509 -in server-ca.pem -out server-ca.crt -outform der
  

  然后重新导入到本地计算机的「受信任根证书颁发机构」，导入时选择“将所有证书放入下列存储”并指定「受信任根证书颁发机构」。

• 验证网关服务账户的证书访问权限
  PowerBI本地网关默认以NT SERVICE\PBIEgwService账户运行，需确保该账户有权限读取受信任根证书存储：

  1. 打开MMC -> 添加「证书」管理单元 -> 选择「本地计算机」
  2. 展开「受信任根证书颁发机构」->「证书」，找到导入的CloudSQL根证书
  3. 右键证书 ->「所有任务」->「管理私钥」，添加NT SERVICE\PBIEgwService账户并授予「读取」权限

• 检查PowerBI连接的SSL模式设置
  在PowerBI数据源配置中，将Postgres连接的SSL模式设置为Verify-CA（匹配CloudSQL的证书验证要求），而非默认的Require。部分旧版连接器需手动指定SSL参数，可在连接字符串中添加：

  sslmode=verify-ca;sslrootcert=C:\path\to\server-ca.crt
  

• 排查证书吊销列表（CRL）访问问题
  打开证书属性查看「CRL分发点」的URL，在网关服务器上测试能否访问该地址。若无法访问会导致验证失败，可临时禁用CRL检查用于测试：

  1. 运行gpedit.msc打开组策略编辑器
  2. 导航到「计算机配置」->「Windows设置」->「安全设置」->「公钥策略」->「证书路径验证设置」
  3. 勾选「定义这些策略设置」，取消勾选「允许证书吊销检查」

• 升级PowerBI本地网关到最新版本
  旧版本网关可能存在PostgreSQL SSL连接的兼容性问题，下载最新版网关并升级后重新配置数据源。

• 确认CloudSQL实例的SSL配置
  检查CloudSQL实例的SSL设置为「允许SSL连接」或「强制SSL连接」，同时确认使用的服务器证书是对应实例所在区域的根证书（不同区域根证书可能不同）。

内容的提问来源于stack exchange，提问作者Sholly