pgsql.cc 提供对 postgresql.org 官网内容的中文翻译，由 Pigsty 团队维护。
PostgreSQL原生支持使用SSL连接来加密客户端与服务器之间的通信，以提高安全性。这要求客户端和服务器系统上都安装了OpenSSL，并且在构建PostgreSQL时启用了该支持（见第 15 章）。
如果构建时启用了 SSL 支持，那么在 postgresql.conf 中将参数 ssl 设为 on，就可以在启动 PostgreSQL 服务器时启用 SSL。服务器会在同一个 TCP 端口上同时监听普通连接和 SSL 连接，并与每个连接进来的客户端协商是否使用 SSL。默认情况下，这由客户端决定；关于如何把服务器配置为要求某些或全部连接必须使用 SSL，请参阅 第 21.1 节。
PostgreSQL会读取系统范围的OpenSSL配置文件。默认情况下，该文件名为openssl.cnf，位于openssl version -d报告的目录中。可以通过把环境变量OPENSSL_CONF设为所需配置文件的名称，覆盖这一默认值。
OpenSSL支持种类繁多、强度不一的密码套件和认证算法。虽然可以在OpenSSL配置文件中指定密码套件列表，但你也可以通过修改postgresql.conf中的ssl_ciphers，专门为数据库服务器指定要使用的密码套件。
使用NULL-SHA或NULL-MD5密码套件，可以在没有加密开销的情况下完成认证。不过，中间人仍然能够读取并转发客户端与服务器之间的通信。此外，与认证的开销相比，加密开销本身很小。基于这些原因，不建议使用 NULL 密码套件。
要以SSL模式启动，服务器数据目录中必须存在文件server.crt和server.key。这两个文件应分别包含服务器证书和私钥。如果私钥受口令保护，服务器将提示输入该口令，输入之前不会启动。
要让客户端提供受信任的证书，请把你信任的证书颁发机构（CA）的证书放在数据目录中的root.crt文件里。此后，在 SSL 连接启动时会向客户端请求证书。（关于如何设置客户端证书，见第 30.16 节。）服务器将验证客户端的证书是否由某个受信任的证书颁发机构签名。如果文件root.crl存在，还将检查证书吊销列表（CRL）条目。 （SSL 证书用法的图示见http://h71000.www7.hp.com/DOC/83final/BA554_90007/ch04s02.html。）
如果root.crt文件不存在，就不会请求或检查客户端证书。在这种模式下，SSL 提供加密通信，但不提供认证。
文件server.key、server.crt、root.crt和root.crl只在服务器启动时检查；因此更改它们后必须重启服务器才能生效。
表 17.3. SSL 服务器文件用法
| 文件 | 内容 | 效果 |
|---|---|---|
server.crt |
服务器证书 | 发送给客户端以表明服务器的身份 |
server.key |
服务器私钥 | 证明服务器证书由其所有者发送；并不表明证书所有者可信 |
root.crt |
受信任的证书颁发机构 | 请求客户端证书；检查证书是否由受信任的证书颁发机构签名 |
root.crl |
被证书颁发机构吊销的证书 | 客户端证书不能出现在此列表中 |
要为服务器快速创建一个自签名证书，可以使用下面的OpenSSL命令：
openssl req -new -text -out server.req
请填写openssl要求的信息。确保把本地主机名输入为“Common Name”；挑战密码可以留空。该程序会生成一个带口令保护的密钥；它不接受少于四个字符的口令。要移除口令（如果希望服务器自动启动就必须这样做），请运行命令：
openssl rsa -in privkey.pem -out server.key rm privkey.pem
输入旧口令以解锁现有密钥。接着执行：
openssl req -x509 -in server.req -text -key server.key -out server.crt chmod og-rwx server.key
把证书转换为自签名证书，并把密钥和证书复制到服务器将会查找它们的位置。关于如何创建服务器私钥和证书的更多细节，请参阅OpenSSL文档。
自签名证书可用于测试，但在生产环境中应使用由证书颁发机构（CA）（全局CA之一或本地 CA）签名的证书，以便客户端能验证服务器的身份。
译文有误、术语不当或页面显示问题，请到译文仓库 pgsty/pgdoc 报告译文问题。 英文原文本身的问题，请在当前版本的对应页面向上游反馈；上游不再修订已结束维护的版本。