要要求客户端提供受信任的证书，请把你信任的证书颁发机构（CA）的证书放在数据目录中的root.crt文件里，并把pg_hba.conf中相应hostssl行上的clientcert参数设置为1。此后，在 SSL 连接启动时会向客户端请求证书。（关于如何在客户端设置证书，见第 31.17 节。）服务器将验证客户端的证书是否由某个受信任的证书颁发机构签名。如果文件root.crl存在，还将检查证书吊销列表（CRL）条目。 （SSL 证书用法的图示见http://h71000.www7.hp.com/doc/83final/ba554_90007/ch04s02.html。）

pg_hba.conf中的clientcert选项可用于所有认证方法，但只适用于指定为hostssl的行。当未指定clientcert或将其设置为0时，如果root.crt文件存在，服务器仍会根据它验证出示的客户端证书——但不会坚持要求客户端出示证书。

注意，root.crt列出的是被认为可为客户端证书签名、受信任的顶层 CA。原则上它不必列出为服务器证书签名的 CA，尽管在大多数情况下该 CA 也会为客户端证书所信任。

如果正在设置客户端证书，可以考虑使用 cert 认证方法，让证书在提供连接安全性的同时也控制用户认证。详情参见 第 19.3.9 节。

文件server.key、server.crt、root.crt和root.crl只在服务器启动时检查；因此更改它们后必须重启服务器才能生效。

要为服务器快速创建一个自签名证书，可以使用下面的OpenSSL命令：

openssl req -new -text -out server.req

请填写openssl要求的信息。确保把本地主机名输入为“Common Name”；挑战密码可以留空。该程序会生成一个带口令保护的密钥；它不接受少于四个字符的口令。要移除口令（如果希望服务器自动启动就必须这样做），请运行命令：

openssl rsa -in privkey.pem -out server.key
rm privkey.pem

输入旧口令以解锁现有密钥。接着执行：

openssl req -x509 -in server.req -text -key server.key -out server.crt

把证书转换为自签名证书，并把密钥和证书复制到服务器将会查找它们的位置。最后执行：

chmod og-rwx server.key

因为如果文件的权限比这更宽松，服务器将拒绝该文件。关于如何创建服务器私钥和证书的更多细节，请参阅OpenSSL文档。

自签名证书可用于测试，但在生产环境中应使用由证书颁发机构（CA）（全局CA之一或本地 CA）签名的证书，以便客户端能验证服务器的身份。如果所有客户端都在组织内部，建议使用本地CA。