RDS实例开启SSL证书强制验证后仍可无证书连接的问题排查

以下是可能导致设置后仍能无证书连接的原因及排查方法：

• 参数组未正确关联或参数未生效
  虽然你重启了实例，但需确认修改后的参数组已绑定到目标RDS实例。可通过RDS控制台查看实例的配置详情，核对参数组是否为你修改的那一个。同时登录数据库执行以下命令验证参数是否生效：

  SHOW GLOBAL VARIABLES LIKE 'rds.force_ssl';
  SHOW GLOBAL VARIABLES LIKE 'ssl';
  

  若查询结果中rds.force_ssl不为1、ssl不为ON，说明参数未真正生效，需重新确认参数组关联及重启操作是否完成。

• 数据库用户未设置强制SSL属性
  全局参数rds.force_ssl=1可能会被用户级别的设置覆盖。需检查目标连接用户的SSL要求，执行：

  SELECT user, host, ssl_type FROM mysql.user;
  

  若目标用户的ssl_type为空或NONE，说明该用户未被强制使用SSL连接，需执行以下命令修改：

  ALTER USER '你的用户名'@'允许的主机' REQUIRE SSL;
  

  如果你需要强制验证客户端证书（对应verify-full模式），则需设置为：

  ALTER USER '你的用户名'@'允许的主机' REQUIRE X509;
  

• RDS引擎类型适配问题
  不同数据库引擎的SSL强制参数存在差异：

  • 若使用MySQL/MariaDB，rds.force_ssl和ssl是正确参数，但需确保用户级别设置匹配；
  • 若使用PostgreSQL，全局参数ssl=on仅启用SSL，但强制客户端证书需额外配置ssl_ca_file参数，并将用户设置为REQUIRE CERT。

• 客户端连接测试方式有误
  部分客户端默认会尝试SSL连接，若连接失败才降级，但如果你的测试未明确指定非SSL模式，可能误以为是无证书连接。可尝试用明确禁用SSL的命令测试，比如MySQL客户端：

  mysql -h 你的RDS地址 -u 用户名 -p --ssl-mode=DISABLED
  

  若此命令仍能成功连接，说明服务器端的强制SSL设置未生效，需回到前两点排查。

内容的提问来源于stack exchange，提问作者Дмитрий Высочин