CONFIGURATION PARAMETER连接和认证 / SSL

ssl_ca_file

指定包含 SSL 服务器证书颁发机构（CA）的文件名。

Location of the SSL certificate authority file.

字符串重载生效引入 9.2 现存至 20 devel 0 次默认值变更

类型: 字符串string
上下文: 重载生效改配置文件后重载（pg_ctl reload / SIGHUP）即可生效
默认值: 空字符串原始值 ''
分类: 连接和认证 / SSL
引入版本: 9.2
状态: 现存

PostgreSQL 18.7 手册官方文档引入提交 a445cb92ef

版本轨迹

相对 PostgreSQL 17 无变化。

默认值变迁

空字符串 9.2 – 19

已记录的默认值在 PostgreSQL 9.2–19 之间未变。带单位的取值换算成了可读形式，原始的 boot_val 与单位写在悬浮提示里。

手册说明

PostgreSQL 18.7 手册 · 19.3 连接和认证本站手册官方原文

指定包含 SSL 服务器证书颁发机构（CA）的文件名。相对路径是相对于数据目录的。这个参数只能在 postgresql.conf 文件中或者服务器命令行上设置。默认值为空，表示没有载入 CA 文件，并且客户端证书验证没有被执行。

机制详解

ssl_ca_file：设置 SSL 证书颁发机构文件的位置。PEM CA 包定义客户端证书验证的信任根，以及 TLS 协商期间发送的可接受颁发机构列表。

ssl_ca_file 属于 SIGHUP 上下文：重新加载配置即可在不重启的情况下激活服务器新值，后续读取它的操作使用刷新值。既有 TLS 会话不会重新协商。

它参与新握手使用的 TLS 上下文。ssl 启用传输，pg_hba.conf 决定哪些连接类别必须使用它，而证书、私钥、CA、吊销、协议与密码参数必须组成一套有效策略。

调优建议

按典型负载给出的取值思路，不是放之四海皆准的配方：实际取值要看数据量、并发度与硬件。

OLTP在线事务处理

只有经评审且用于验证客户端证书的 CA 包才写入 ssl_ca_file。CA 轮换期间规划新旧信任根重叠，限制文件写权限，并在重载后测试每条 cert/clientcert HBA 路径。
OLAP分析与批处理

除非分析访问属于刻意分离的 PKI 域，否则使用相同信任根。不要为解决客户端部署问题而扩大 CA 包。
小规格低配实例与开发机

不使用客户端证书验证时保持空值。启用后让 CA 包尽量精简，监控到期，并在故障转移节点保持一致。

常见问题

编辑 ssl_ca_file 后没有重新加载配置，也没有核对有效值与后续行为。
只更新一个 TLS 文件或策略参数，留下无效证书链、不可读私钥或不兼容协议集合。
误以为重新加载会重新协商既有会话；TLS 策略变化只影响新握手。
没有回滚计划及客户端或运维兼容测试，就全局修改 ssl_ca_file。

演化历史

相邻两个大版本之间的差异，新的在前。版本号链到该版的快照。

PostgreSQL 10 ← 9.6 属性变更

上下文 重启生效 重载生效
PostgreSQL 9.2 ← 9.1 新增此参数

PostgreSQL 9.2 起可用

逐版本快照

每个收录版本里的 7 项事实，与上一个存在的版本不同的格子带底色。版本号链到该版。

版本	默认值	单位	上下文	类型	最小值	最大值	枚举值
9.2	`空字符串`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
9.3	`空字符串`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
9.4	`空字符串`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
9.5	`空字符串`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
9.6	`空字符串`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
10	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
11	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
12	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
13	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
14	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
15	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
16	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
17	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
18	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
19	`空字符串`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
20	—	—	—	`字符串`	—	—	—

参考资料

同类参数

参数	类型	上下文	默认值	最近变更
Connections and Authentication 连接和认证 17 个 ↗
SSL 17
`ssl`	布尔	重载生效	`off`	101 次
启用 SSL 连接。				现存
`ssl_ca_file`	字符串	重载生效	`空字符串`	101 次
指定包含 SSL 服务器证书颁发机构（CA）的文件名。				现存
`ssl_cert_file`	字符串	重载生效	`server.crt`	101 次
指定包含 SSL 服务器证书的文件名。				现存
`ssl_ciphers`	字符串	重载生效	`HIGH:MEDIUM:+3DES:!aNULL`	103 次
指定允许用于 TLS 1.2 及更低版本连接的 SSL 密码套件列表；对于 TLS 1.3 连接，请参见 ssl_tls13_ciphers。				现存
`ssl_crl_dir`	字符串	重载生效	`空字符串`	—
指定包含 SSL 客户端证书吊销列表（CRL）的目录名称。				现存
`ssl_crl_file`	字符串	重载生效	`空字符串`	101 次
指定包含 SSL 客户端证书吊销列表（CRL）的文件名。				现存
`ssl_dh_params_file`	字符串	重载生效	`空字符串`	—
指定包含 Diffie-Hellman 参数的文件名，这些参数用于所谓临时 DH 系列的 SSL 密码套件。				现存
`ssl_ecdh_curve`	字符串	重载生效	`prime256v1`	101 次
指定在 ECDH 密钥交换中使用的曲线名称。				于 18 移除
`ssl_groups`	字符串	重载生效	`X25519:prime256v1`	—
指定用于 TLS 密钥交换的命名组。				现存
`ssl_key_file`	字符串	重载生效	`server.key`	101 次
指定包含 SSL 服务器私钥的文件名。				现存
`ssl_max_protocol_version`	枚举	重载生效	`空字符串`	—
设置要使用的最高 SSL/TLS 协议版本。				现存
`ssl_min_protocol_version`	枚举	重载生效	`TLSv1.2`	131 次
设置要使用的最低 SSL/TLS 协议版本。				现存
`ssl_passphrase_command`	字符串	重载生效	`空字符串`	—
设置获取用于解密私钥等 SSL 文件的口令时要调用的外部命令。				现存
`ssl_passphrase_command_supports_reload`	布尔	重载生效	`off`	—
此参数决定：配置重载期间，如果密钥文件需要口令，是否也调用 ssl_passphrase_command 设置的口令命令。				现存
`ssl_prefer_server_ciphers`	布尔	重载生效	`on`	101 次
指定是否使用服务器的 SSL 密码套件优先顺序，而非客户端的优先顺序。				现存
`ssl_sni`	布尔		—	—
启用 SSL 连接的 SNI 配置。				现存
`ssl_tls13_ciphers`	字符串	重载生效	`空字符串`	—
指定允许用于 TLS 版本 1.3 连接的密码套件列表。				现存

快速链接