Debezium与PostgreSQL JDBC Sink跨版本连接算法约束校验失败求助

问题概述 #

使用包含Debezium 2.1源连接器的Docker镜像，搭配PostgreSQL JDBC 42.5.1作为Sink连接器，在源为PostgreSQL 11、目标为Azure PostgreSQL 14灵活服务器时，出现SSL错误：

SSL error: Certificates do not conform to algorithm constraints
Algorithm constraints check failed on signature algorithm: SHA1withRSA

尝试过两种方案均无效：

• 启用目标TLS 1.2并添加Sink参数：&ssl=true&sslfactory=org.postgresql.ssl.NonValidatingFactory&sslmode=require&sslProtocol=TLSv1.2
• 禁用目标TLS并设置连接器参数：&ssl=false

原因分析 #

1. JVM安全策略限制：较新版本的JDK（如JDK 8u301+、JDK 11+）默认在jdk.tls.disabledAlgorithms中禁用了SHA1withRSA签名算法，而Azure PostgreSQL 14灵活服务器的默认证书可能仍使用该算法，导致JVM拒绝建立SSL连接。
2. SSL禁用参数未生效：即使设置ssl=false，若Azure服务器端强制要求安全传输（require_secure_transport参数为ON），或者JDBC驱动因配置问题仍尝试发起SSL连接，错误依然会出现。
3. JDBC驱动兼容性：PostgreSQL JDBC 42.5.1对Azure PostgreSQL 14的SSL场景支持存在局限性。

可行解决方案 #

1. 调整JVM安全策略，允许SHA1withRSA算法 #

修改Docker镜像中的JVM安全配置，移除对SHA1withRSA的禁用：

• 在Dockerfile中添加以下命令：

  RUN sed -i 's/, SHA1withRSA//g' $JAVA_HOME/jre/lib/security/java.security
  

• 或者在容器启动时添加JVM参数：

  -Djdk.tls.disabledAlgorithms=SSLv3,TLSv1,TLSv1.1,RC4,MD5withRSA
  

2. 确保SSL禁用配置完全生效 #

• 修正JDBC URL格式：若URL开头无其他参数，应使用?ssl=false而非&ssl=false，完整示例：

  connection.url=jdbc:postgresql://your-azure-pg-host:5432/your-db?ssl=false
  

• 检查Azure服务器参数：在Azure门户进入PostgreSQL灵活服务器的「服务器参数」页面，将require_secure_transport设置为OFF，保存后重启服务器。

3. 更新PostgreSQL JDBC驱动版本 #

将JDBC驱动从42.5.1升级至最新稳定版（如42.6.0及以上），新版本对Azure PostgreSQL 14的SSL兼容性更好，可修复旧版本的协议适配问题。

4. 配置合法SSL证书验证（推荐） #

若需保留SSL连接，使用Azure官方指定的DigiCertGlobalRootCA根证书进行验证：

1. 下载根证书文件，将其放入Docker镜像的指定路径中。
2. 配置Sink连接器的JDBC URL：

   connection.url=jdbc:postgresql://your-azure-pg-host:5432/your-db?ssl=true&sslmode=verify-full&sslrootcert=/path/to/DigiCertGlobalRootCA.crt.pem&sslProtocol=TLSv1.2
   

此方案可确保证书符合算法约束，同时保证连接安全性。

内容的提问来源于stack exchange，提问作者Stavros Koureas