求助：通过证书认证SSL/TLS将Tableau Desktop连接PostgreSQL失败

我之前帮团队搞定过几乎一模一样的问题，给你几个亲测有效的排查方向，都是踩过的坑：

1. 证书路径的格式问题（最容易踩的坑） #

ODBC驱动对路径的要求比psql严格得多，如果你的证书路径包含空格，或者是Windows系统的路径，必须用双引号把路径包起来，而且Windows路径的反斜杠要转义（写两个\\）或者换成正斜杠/。比如正确的附加字符串应该是：

sslcert="C:/certs/my-client.crt"; sslkey="C:/certs/my-client.key"; sslrootcert="C:/certs/root-ca.crt"; sslmode=require

你之前的附加字符串里路径没加引号吧？这是ODBC连接失败的头号原因。

2. 证书文件的权限问题 #

PostgreSQL对客户端密钥文件的权限要求非常严格：

• 如果是Windows系统，要确保Tableau运行的用户（也就是你当前登录的Windows账号）有读取证书和密钥文件的权限。右键证书文件→属性→安全，把当前用户的读取权限加上，别给其他用户太高权限。
• 如果是Mac/Linux，必须把密钥文件的权限改成600（只有文件所有者能读），执行命令：

chmod 600 /path/to/your/client.key

权限太宽的话，PostgreSQL会直接拒绝连接，哪怕证书本身是对的。

3. ODBC驱动的版本和配置冲突 #

• 先确认你装的是最新版的PostgreSQL ODBC驱动（psqlODBC），旧版本对SSL证书参数的支持有bug，比如有些旧版不识别sslcert参数。
• 不要同时在ODBC数据源的可视化配置界面选“SSL Mode”，又在附加字符串里写sslmode=require，这会导致参数冲突！要么在驱动的SSL Mode下拉菜单选“Require”，要么只在附加字符串里指定sslmode=require，二选一就行。
• 检查参数名是否正确：有些版本的驱动可能把客户端证书参数写成sslclientcert而不是sslcert，你可以打开ODBC驱动的配置界面，看高级选项里的参数名，或者看驱动自带的帮助文档（不用跳外部网站，安装目录里就有）。

4. 先测试ODBC连接，再碰Tableau #

不要直接用Tableau测试，先通过系统自带的工具验证ODBC连接是否正常：

• Windows：打开64位ODBC数据源管理器（因为Tableau是64位程序，必须用64位驱动），新建一个PostgreSQL Unicode数据源，填好所有参数和附加字符串，点击「测试连接」。如果这里能通，Tableau肯定没问题；如果这里失败，报错信息会更详细，方便定位。
• Mac/Linux：用isql命令测试（需要先装unixODBC）：

isql -v <你的DSN名称> <db用户名> ""

注意密码留空，因为咱们用证书认证，不需要密码。

5. 再确认EC2端PostgreSQL的配置（虽然psql能连，但保险起见） #

• 检查postgresql.conf：确保ssl = on，且ssl_ca_file指向根证书的正确路径。
• 检查pg_hba.conf：对应的条目应该是hostssl <数据库名> <用户名> <你的IP>/32 cert，确保认证方式是cert，而不是md5或password。

我当时就是因为路径没加引号+密钥权限不对，折腾了大半天，按上面的步骤一个个排查，应该能解决你的问题。

内容的提问来源于stack exchange，提问作者walmat