如何解决ClickHouse连接SSL启用的PostgreSQL表失败问题？

核心解决方法 #

在postgresql表函数中补充SSL相关参数，强制启用加密连接，示例语句如下：

CREATE TABLE if not exists {table_name} 
AS postgresql(
    '生产PostgreSQL地址:5432', 
    'postgres', 
    'transactions', 
    'postgres', 
    {PASSWORD},
    'sslmode', 'require',
    'sslrootcert', '/path/to/root.crt' -- 需验证服务器证书时添加
);

参数说明 #

• sslmode: 控制SSL连接的严格程度，常用取值：
  • require: 强制使用SSL连接，不验证服务器证书（仅满足加密传输需求）
  • verify-ca: 要求SSL连接，同时验证服务器证书是否由可信CA签发
  • verify-full: 要求SSL连接，额外验证服务器证书与主机名是否匹配
• sslrootcert: 当使用verify-ca或verify-full模式时，指定根CA证书的路径（Docker环境需确保证书已挂载到容器内）

Docker环境额外配置 #

1. 将PostgreSQL的根CA证书挂载到ClickHouse容器，可在docker-compose.yml中添加：

   volumes:
     - /本地证书路径/root.crt:/etc/clickhouse-server/root.crt
   

2. 确保ClickHouse进程对证书文件拥有读取权限

额外错误排查点 #

若仍出现SASL认证失败，需确认：

• PostgreSQL的pg_hba.conf是否允许当前ClickHouse IP通过SSL方式访问目标用户
• 生产环境的PostgreSQL用户密码输入正确

内容的提问来源于stack exchange，提问作者Eugeniy Shablinskiy