AWS S3 C++ SDK TLS1.2握手后与MinIO连接断开问题排查

核心问题是你部署的MINIO服务开启了双向TLS（mTLS）认证，HTTPS握手阶段服务端会发送Certificate Request要求客户端提供合法的身份证书，你的AWS C++ SDK未配置对应客户端证书，所以主动终止握手流程。
对应你验证的正常场景逻辑如下：

• AWS CLI提前配置了客户端证书/私钥路径，可正常响应MINIO的证书要求完成握手
• 关闭MINIO SSL后无TLS层校验，自然不会触发客户端证书要求
• 公有云AWS S3默认仅开启单向TLS认证，不会发送Certificate Request包，所以SDK无需配置客户端证书即可正常访问

你之前尝试的方案均未触及核心问题：verifySSL是客户端校验服务端证书合法性的开关，和服务端要求客户端提供证书的逻辑完全独立；region、HTTP协议版本和TLS层的客户端身份校验无关联，因此调整后无效。

• 登录MINIO服务器，检查启动配置：确认是否配置了客户端CA证书，即是否添加了启动参数--certs-dir且目录下存在clientCAs子目录并存放了CA根证书，或是否配置了环境变量MINIO_IDENTITY_TLS_CLIENT_CAS，存在上述配置即代表MINIO开启了双向TLS认证
• 检查本地AWS CLI配置文件（默认路径~/.aws/config），确认是否存在cli_certificate、cli_private_key等客户端证书相关配置，该配置是CLI可以正常连接的核心原因
• 确认你使用的AWS C++ SDK的HTTP后端：Windows环境下默认使用WinHTTP后端，该后端的客户端证书配置逻辑和Linux curl后端存在差异

分为两种场景处理：

场景1：无需开启双向TLS认证 #

直接移除MINIO的客户端CA配置，删除启动参数中clientCAs相关的配置或清空MINIO_IDENTITY_TLS_CLIENT_CAS环境变量，重启MINIO后服务端不会再发送Certificate Request包，SDK无需额外配置即可正常完成HTTPS握手。

场景2：需要保留双向TLS认证 #

根据你使用的SDK HTTP后端选择配置方案：

WinHTTP默认后端（Windows环境） #

1. 将你AWS CLI使用的客户端证书和私钥导出为PFX/P12格式，导入到Windows证书存储的「当前用户-个人」或「本地计算机-个人」目录下
2. 初始化AWS C++ SDK的ClientConfiguration时，添加clientCertificateSubjectName参数指定你导入的证书主题名，或clientCertificatePath参数指定PFX文件路径，WinHTTP会自动读取证书完成双向TLS握手

Curl后端（跨平台通用） #

1. 编译AWS C++ SDK时添加编译参数-DUSE_CURL_BACKEND=ON，替换默认的WinHTTP后端
2. 初始化ClientConfiguration时，配置clientCertificatePath指向客户端证书PEM文件路径，clientKeyPath指向客户端私钥PEM文件路径即可完成配置

内容的提问来源于stack exchange，提问作者tami h