AWS文档中boto3调用MySQL/PostgreSQL时SSL证书[full path]是什么

RDS CA证书路径确认 #

你猜测的RDS组合CA证书包的官方来源是准确的。示例代码中的[full path]是占位符，指代你将证书下载到运行脚本的EC2实例本地后的绝对文件路径，比如你把证书存放在EC2的/home/ec2-user/rds_certs/目录下，该处的完整参数值应为/home/ec2-user/rds_certs/rds-combined-ca-bundle.pem。

你现在直接填写[full path]仍能正常运行的原因是代码中使用了sslmode='prefer'配置：该模式会优先尝试建立SSL连接，当SSL配置（比如证书路径无效）出错时，会自动降级为非SSL连接，此时你的数据库连接并没有做SSL加密，存在数据泄露风险。

将CA证书包下载到EC2实例的核心优势 #

• 实现高安全性的加密连接：你可以将sslmode调整为verify-ca或verify-full，客户端会调用本地存储的CA证书，校验RDS服务端返回的证书合法性，可有效防范中间人攻击，保障数据库传输数据的安全，这是该配置最核心的价值。
• 提升连接稳定性：无需每次建立连接时都通过公网拉取CA证书，可避免网络波动导致的证书拉取失败、连接超时问题；对于无公网出口的VPC内网EC2实例，本地存储CA证书是建立SSL加密连接的必要前提。
• 满足合规要求：等保2.0、金融行业数据安全规范等大部分合规要求，都明确规定数据库连接必须使用带服务端身份校验的SSL加密，本地存储CA证书做校验是满足这类要求的必要配置。
• 降低额外开销：无需重复拉取证书可减少不必要的公网带宽消耗，也能小幅提升连接建立的速度。

内容的提问来源于stack exchange，提问作者d8aninja