修改的配置文件:
pg_hba.conf postgres.conf
修改为可以用ssl的。
其中要想双方认证在option中写入 clientcert=1
建立ca机构:
CA.sh -newca
给cakey.pem的密码去掉:
openssl rsa -in demoCA/private/cakey.pem -out demoCA/private/cakey.pem
为客户端建立key文件和crt文件:
CA.sh -newreq
CA.sh -signCA 填入信息的时候,commonname 生产多个client证书时不要一致,否则生产失败,想要一致的生成请修改demoCA/index.txt.attr文件 uniqsubname = no
生成吊销单:
openssl ca -gencrl -out root.crl -days 3 吊销单的失效日期
吊销证书:
openssl ca -revoke oldcert.pem
配置pg的文件:
cp demoCA/private/cakey.pem data/server.key
cp demoCA/cacert.pem data/server.crt
cp demoCA/cacert.pem data/root.crt
到这里就可以用了,当然,也可以配置一个吊销单,管理CA
cat index.txt > crlnumber
CA.sh -gencrl -out root.crl -days 33
cp root.crl data/root.crl
chmod 0600 server* root.*
转载于:https://my.oschina.net/u/2265334/blog/807591