dbt profiles.yml中配置PostgreSQL SSL验证证书文件路径的正确方法

路径本身的语法规则 #

Linux环境下的路径写法本身没有特殊要求，你用的/home/user/xxx格式的绝对路径是合法的，你遇到的报错大概率是配置细节或权限问题，需要按以下顺序排查：

• 路径必须指向具体的证书文件，不能只写到存放证书的目录，三个配置参数分别对应独立的文件，不可混用同一个路径：
  • sslcert：客户端公钥证书，通常后缀为.crt
  • sslkey：客户端私钥文件，通常后缀为.key
  • sslrootcert：服务端根CA证书，通常后缀为.crt
• 如果用相对路径，路径起点是当前执行dbt命令的工作目录，更推荐用绝对路径避免上下文差异导致的读取失败。

必查配置&权限问题 #

1. sslmode参数调整
   你当前用的sslmode: require仅会加密传输链路，不会触发客户端证书校验逻辑，如果你的PostgreSQL服务端开启了双向认证要求客户端提交证书，需要将sslmode修改为verify-ca或verify-full。
2. 证书权限修正
   PostgreSQL客户端对证书文件权限有严格要求，私钥文件不能有组和其他用户的访问权限，执行以下命令修改：

# 私钥仅当前用户可读
chmod 600 /home/user/你的客户端私钥.key
# 公钥证书可当前用户读写，其他人只读
chmod 644 /home/user/你的客户端证书.crt /home/user/你的根CA证书.crt

3. 证书格式校验
   确保你的证书是标准PEM格式，可通过openssl命令验证：

# 验证客户端证书格式
openssl x509 -in /home/user/你的客户端证书.crt -text -noout
# 验证私钥格式
openssl rsa -in /home/user/你的客户端私钥.key -check

如果命令执行报错，说明证书格式错误，需要重新导出PEM格式的证书文件。

完整配置示例（dbt profiles.yml） #

your_project_profile:
  target: dev
  outputs:
    dev:
      type: postgres
      host: 你的数据库地址
      port: 5432
      user: 数据库用户名
      password: 数据库密码
      dbname: 数据库名
      schema: public
      sslmode: verify-ca
      sslcert: /home/user/postgres_client.crt
      sslkey: /home/user/postgres_client.key
      sslrootcert: /home/user/postgres_rootCA.crt

内容的提问来源于stack exchange，提问作者Siddaram H