要要求客户端提供受信任的证书，请把你信任的根证书颁发机构（CA）的证书放入数据目录中的某个文件，在 postgresql.conf 中将参数 ssl_ca_file 设为该文件名，并在 pg_hba.conf 中相应的 hostssl 行上添加认证选项 clientcert=1。这样，SSL 连接启动时就会向客户端请求证书。（关于如何在客户端设置证书，请参见 第 31.18 节。）服务器会验证客户端证书是否由某个受信任的证书颁发机构签名。

如果希望避免在客户端上存储中间证书，那么与现有根证书构成链的中间证书也可以出现在 root.crt 文件中（前提是根证书和中间证书使用 v3_ca 扩展创建）。如果设置了参数 ssl_crl_file，还会检查证书吊销列表（CRL）条目。

pg_hba.conf 中的 clientcert 选项适用于所有认证方法，但只适用于指定为 hostssl 的行。未指定 clientcert 或将其设为 0 时，如果配置了 CA 列表，服务器仍会依据该列表验证客户端提供的证书，但不会强制要求客户端提供证书。

如果正在设置客户端证书，可以考虑使用 cert 认证方法，让证书在提供连接安全性的同时也控制用户认证。详情参见 第 19.3.9 节。

表 17.2 概括了服务器端 SSL 设置相关的文件。（表中显示的是默认或典型文件名；本地实际配置的名称可能不同。）

文件server.key、server.crt、root.crt和root.crl（或它们配置的替代名称）只在服务器启动期间检查；因此要让这些文件中的变更生效，必须重启服务器。

要为服务器创建一个有效期为 365 天的简单自签名证书，可以使用下面的OpenSSL命令，并将dbhost.yourdomain.com替换为服务器主机名：

openssl req -new -x509 -days 365 -nodes -text -out server.crt \
  -keyout server.key -subj "/CN=dbhost.yourdomain.com"

然后执行：

chmod og-rwx server.key

如果该文件权限比这更宽松，服务器会拒绝使用它。关于如何创建服务器私钥和证书的更多细节，请参阅OpenSSL文档。

虽然自签名证书可用于测试，但在生产环境中应使用由证书颁发机构（CA，通常是企业范围内的根 CA）签名的证书。

要创建一个可由客户端验证其身份的服务器证书，首先要创建证书签名请求（CSR）以及公钥/私钥文件：

openssl req -new -nodes -text -out root.csr \
  -keyout root.key -subj "/CN=root.yourdomain.com"
chmod og-rwx root.key

然后，使用该密钥对请求进行签名，以创建一个根证书颁发机构（这里使用的是Linux上OpenSSL配置文件的默认位置）：

openssl x509 -req -in root.csr -text -days 3650 \
  -extfile /etc/ssl/openssl.cnf -extensions v3_ca \
  -signkey root.key -out root.crt

最后，创建一个由新根证书颁发机构签名的服务器证书：

openssl req -new -nodes -text -out server.csr \
  -keyout server.key -subj "/CN=dbhost.yourdomain.com"
chmod og-rwx server.key

openssl x509 -req -in server.csr -text -days 365 \
  -CA root.crt -CAkey root.key -CAcreateserial \
  -out server.crt

server.crt和server.key应存放在服务器上，而root.crt应存放在客户端上，以便客户端能够验证服务器的叶子证书是否由其受信任的根证书签名。root.key应离线保存，以供将来签发证书时使用。

也可以创建包含中间证书的信任链：

# root
openssl req -new -nodes -text -out root.csr \
  -keyout root.key -subj "/CN=root.yourdomain.com"
chmod og-rwx root.key
openssl x509 -req -in root.csr -text -days 3650 \
  -extfile /etc/ssl/openssl.cnf -extensions v3_ca \
  -signkey root.key -out root.crt

# intermediate
openssl req -new -nodes -text -out intermediate.csr \
  -keyout intermediate.key -subj "/CN=intermediate.yourdomain.com"
chmod og-rwx intermediate.key
openssl x509 -req -in intermediate.csr -text -days 1825 \
  -extfile /etc/ssl/openssl.cnf -extensions v3_ca \
  -CA root.crt -CAkey root.key -CAcreateserial \
  -out intermediate.crt

# leaf
openssl req -new -nodes -text -out server.csr \
  -keyout server.key -subj "/CN=dbhost.yourdomain.com"
chmod og-rwx server.key
openssl x509 -req -in server.csr -text -days 365 \
  -CA intermediate.crt -CAkey intermediate.key -CAcreateserial \
  -out server.crt

server.crt和intermediate.crt应拼接为一个证书文件包并存放在服务器上。server.key也应存放在服务器上。root.crt应存放在客户端上，以便客户端验证服务器的叶子证书是否由一条可追溯到其受信任根证书的证书链签名。root.key和intermediate.key应离线保存，以供将来签发证书时使用。