ssl_crl_dir

手册说明

PostgreSQL 18 手册 · 19.3 连接和认证 本站手册 官方原文 ↗

机制详解

ssl_crl_dir 指定客户端证书吊销列表目录。OpenSSL 需要哈希查找链接，因此每次新增或替换 CRL 后都必须再次运行 openssl rehash 或 c_rehash。它补充 ssl_crl_file，两种来源可以同时启用。

更改目录路径属于 SIGHUP 上下文配置变化，但配置目录中的 CRL 文件会在连接时按需加载。因此新安装且正确 rehash 的 CRL 可由新连接立即使用，无需重载 PostgreSQL。

这不同于 ssl_crl_file：后者的文件内容在服务器启动或配置重载时加载。两者都不会追溯吊销既有 TLS 会话；应使用新的客户端证书握手测试吊销，并监控 CRL 的颁发者、签名与到期。

调优建议

按典型负载给出的取值思路，不是放之四海皆准的配方：实际取值要看数据量、并发度与硬件。

• OLTP在线事务处理

  把 ssl_crl_dir 作为按颁发者索引的 CRL 仓库管理：加入最新 CRL，运行 openssl rehash 或 c_rehash，并用新连接验证吊销。只有能运维按需多颁发者更新时才使用。

• OLAP分析与批处理

  分析证书使用同一吊销仓库；不能仅因这些客户端连接较少就建立独立且陈旧的目录。

• 小规格低配实例与开发机

  除非已具备自动 CRL 获取、rehash、到期监控与故障转移同步，否则保持空目录；无人维护的目录会造成虚假安全感。

常见问题

• 新增或替换 CRL 后没有运行 openssl rehash 或 c_rehash，导致 OpenSSL 无法发现。
• 只重载 PostgreSQL 却不刷新过期 CRL，或误以为目录变化会追溯影响既有 TLS 会话。
• 把 ssl_crl_dir 当成 ssl_crl_file，忽略目录 CRL 会为新连接按需加载。
• 只同步目录路径，却未把 CRL 与哈希链接同步到所有故障转移节点。

演化历史

相邻两个大版本之间的差异，新的在前。版本号链到该版的快照。

1. PostgreSQL 20 ← 19 沿用 19

   事实沿用 19

2. PostgreSQL 14 ← 13 新增此参数

   +PostgreSQL 14 起可用

逐版本快照

每个收录版本里的 7 项事实，与上一个存在的版本不同的格子带底色。版本号链到该版。

关联参数

sslssl_cert_filessl_key_filessl_ca_filessl_crl_filessl_min_protocol_version

参考资料

• PostgreSQL 19 Beta 4：ssl_crl_dir
• PostgreSQL 19 发行说明

同类参数