FIPS策略限制致AWS RDS PostgreSQL通过NPGSQL连接认证异常求助

我之前踩过完全一样的坑——公司强制FIPS合规，用Npgsql连AWS RDS PostgreSQL时直接卡在认证环节，查了半天日志才发现是RDS默认的MD5密码认证和FIPS规则冲突了。既然没法绕过公司的域规则，那咱们就从合规的角度解决问题，下面是我亲测有效的步骤：

1. 调整AWS RDS PostgreSQL的认证配置（核心步骤） #

因为MD5不在FIPS允许的算法列表里，咱们得把RDS的认证方式换成合规的scram-sha-256：

• 登录AWS控制台，找到你的RDS PostgreSQL实例，进入参数组管理页面
• 找到password_encryption参数，修改为scram-sha-256（这会让新密码用合规算法加密）
• 找到rds.allowed_auth_mechanisms参数，设置值为scram-sha-256，把原来的md5移除（限制RDS只接受SCRAM认证）
• 重启RDS实例让参数生效
• 最后重置所有数据库用户的密码——之前的密码是MD5加密的，重置后会自动用SCRAM-SHA-256重新加密

2. 配置Npgsql客户端适配SCRAM认证 #

确保客户端这边也用对应的认证方式：

• 升级Npgsql到4.0及以上版本（低版本不支持SCRAM-SHA-256）
• 在连接字符串里明确指定认证方法，示例：

  Host=your-rds-endpoint;Username=dbuser;Password=your-secure-password;Database=your-db;AuthenticationMethod=ScramSha256
  

• 如果是用代码构建连接串，可以直接设置：

  var connStringBuilder = new NpgsqlConnectionStringBuilder
  {
      Host = "your-rds-endpoint",
      Username = "dbuser",
      Password = "your-secure-password",
      Database = "your-db",
      AuthenticationMethod = AuthenticationMethod.ScramSha256
  };
  

3. 关于注册表修改的说明 #

你提到尝试修改Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy下的Enabled值，但受公司域规则限制改不了——其实这条路本来也不是合规的解决方式，咱们上面的方法是从根源上让认证流程符合FIPS要求，完全不用绕过规则。

额外注意事项 #

• 所有数据库用户都需要重置密码，不然旧的MD5加密密码还是会导致认证失败
• 可以在连接字符串里加上Logging=true开启Npgsql日志，确认认证阶段用的是ScramSha256而非MD5，方便排查问题

内容的提问来源于stack exchange，提问作者Massimiliano Carosi