AWS Aurora PostgreSQL - x509：由未知機構簽署的證書

Question

我對 x509 證書有一個（輕微的）工作理解，我一直在試圖理解為什么我遵循的說明不起作用。

I followed https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/UsingWithRDS.SSL.html which simply says, connect with sslmode=verify-ca (or verify-full ) and sslrootcert=$CERTPATH , where $CERTPATH是他們在指南第一段中提供的證書路徑。 這樣做我得到x509: certificate signed by unknown authority 。

稍微調試一下，我（我對 x509 的理解很差）期望 RDS 響應一些證書，其中CN=*.something.us-west-2.rds.amazonaws.com （數據庫）由類似CN=Amazon RDS us-west-2 2019 CA發出CN=Amazon RDS us-west-2 2019 CA以及用於將CN=Amazon RDS us-west-2 2019 CA證書鏈接到Amazon RDS Root 2019 CA的中間體， Amazon RDS Root 2019 CA是我們的sslrootcert 。

我看到的是一個證書CN=*.something.us-west-2.rds.amazonaws.com由OU=Server CA 1B, CN=Amazon和CN=Amazon,OU=Server CA 1B頒發給Amazon Root CA 1 - 亞馬遜在amazontrust.com上的根證書，來自https://www.amazontrust.com/repository/AmazonRootCA1.pem 。 所以psql "postgres://.../dbname?sslmode=verify-ca&sslrootcert=AmazonRootCA1.pem"工作得很好。

Aurora 是否以某種方式配置錯誤？ 我做錯了什么嗎？ 我認為使用sslrootcert=AmazonRootCA1.pem並不可怕，但我想從心理上理解我所缺少的部分。 任何幫助表示贊賞。

Answer 1

我還收到了來自 Aurora Doc 的以下 rds 包的錯誤： https://s3.amazonaws.com/rds-downloads/rds-combined-ca-bundle.pem

https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/UsingWithRDS.SSL.html

但是我嘗試了同一個 wiki 中給出的其他 ca 證書，它解決了“x509 未知權限”問題，並且客戶端能夠驗證根證書。 https://s3.amazonaws.com/rds-downloads/rds-ca-2019-root.pem