Windows环境下Postgres 17证书认证失败及pg_dump证书认证方法问询

核心问题分析 #

报错本质是双向SSL认证流程不完整：

• 客户端未指定信任的根CA，无法验证服务器的自签名证书
• PostgreSQL服务账户可能无证书文件读取权限

1. 客户端补充根CA信任配置 #

执行pg_dump前，添加PGSSLROOTCERT环境变量，指向服务器的根证书文件：

set PGSSLCERT=client.crt
set PGSSLKEY=client.key
set PGSSLROOTCERT=C:\Program Files\PostgreSQL\17\data\root.crt
"C:\Program Files\PostgreSQL\17\bin\pg_dump" -f "test.backup" -F c -h localhost -U postgres postgres

2. 修复证书文件权限（Windows必做） #

PostgreSQL默认使用NT SERVICE\postgresql-x64-17账户运行，需确保该账户能读取数据目录下的证书：

1. 右键点击C:\Program Files\PostgreSQL\17\data → 属性 → 安全选项卡
2. 点击编辑 → 添加，输入NT SERVICE\postgresql-x64-17并确认账户存在
3. 给该账户授予读取和执行权限，保存设置
4. 确保server.key、server.crt、root.crt继承此权限

3. 验证证书链有效性 #

用OpenSSL确认客户端证书可被根CA验证：

openssl verify -CAfile "C:\Program Files\PostgreSQL\17\data\root.crt" client.crt

输出client.crt: OK则说明证书链有效。

4. 优化配置（可选） #

• 收紧pg_hba.conf的IP范围，降低安全风险：

hostssl all postgres ::1/128 cert
hostssl all postgres 127.0.0.1/32 cert

• postgresql.conf中使用绝对路径配置SSL文件，避免路径解析问题：

ssl_ca_file = 'C:/Program Files/PostgreSQL/17/data/root.crt'
ssl_cert_file = 'C:/Program Files/PostgreSQL/17/data/server.crt'
ssl_key_file = 'C:/Program Files/PostgreSQL/17/data/server.key'

5. 重启服务验证 #

修改配置或权限后，重启PostgreSQL服务，再次执行pg_dump命令，若成功生成test.backup文件则问题解决。

内容的提问来源于stack exchange，提问作者Andrus