要要求客户端提供受信任的证书，请把你信任的证书颁发机构（CAs）的证书放入数据目录中的 root.crt 文件，并在 pg_hba.conf 中相应的 hostssl 行上把 clientcert 参数设为 1。这样，SSL 连接启动时就会向客户端请求证书。（关于如何在客户端设置证书，请参见 第 31.17 节。）服务器会验证客户端证书是否由某个受信任的证书颁发机构签名。如果存在 root.crl 文件，还会检查证书吊销列表（CRL）条目。 （展示 SSL 证书用法的示意图可参见http://h71000.www7.hp.com/doc/83final/ba554_90007/ch04s02.html。）

注意，root.crt 列出的是被认为可信任为客户端证书签名的顶层 CA。原则上它不必列出为服务器证书签名的 CA，不过在大多数情况下，那个 CA 对于客户端证书也会是受信任的。

pg_hba.conf 中的 clientcert 选项适用于所有认证方法，但只适用于指定为 hostssl 的行。未指定 clientcert 或将其设为 0 时，如果存在 root.crt 文件，服务器仍会依据它验证客户端提供的证书 — 但不会强制要求客户端提供证书。

如果正在设置客户端证书，可以考虑使用 cert 认证方法，让证书在提供连接安全性的同时也控制用户认证。详情参见 第 19.3.10 节。

表 17.3概括了服务器端 SSL 设置相关的文件。

文件server.key、server.crt、root.crt和root.crl只在服务器启动期间检查；因此要让这些文件中的变更生效，必须重启服务器。

要为服务器快速创建一个自签名证书，可以使用下面的OpenSSL命令：

openssl req -new -text -out server.req

按提示填写 openssl 询问的信息。确保把本地主机名作为“Common Name”输入；挑战口令可以留空。程序会生成一个受口令保护的密钥；它不接受少于四个字符的口令。要去掉口令（如果希望服务器自动启动，就必须这样做），可以运行命令：

openssl rsa -in privkey.pem -out server.key
rm privkey.pem

输入旧口令以解锁现有密钥。然后执行：

openssl req -x509 -in server.req -text -key server.key -out server.crt

把证书转换为自签名证书，并把密钥和证书复制到服务器查找它们的位置。最后执行：

chmod og-rwx server.key

如果该文件权限比这更宽松，服务器会拒绝使用它。关于如何创建服务器私钥和证书的更多细节，请参阅OpenSSL文档。

虽然自签名证书可用于测试，但在生产环境中应使用由证书颁发机构（CA）（既可以是全球性 CA 之一，也可以是本地机构）签名的证书，以便客户端能够验证服务器的身份。如果客户端全部位于组织内部，推荐使用本地 CA。