問題を報告する旧バージョンのドキュメントを参照しています。 最新のドキュメントはこちらをご参照ください。
PostgreSQL TLSのトラブルシューティング
PostgreSQL
SSL接続を受け入れることができませんでした
次のいずれかのエラーメッセージが表示される場合は、SSLバージョンの不一致の問題が発生しています。
LOG: could not accept SSL connection: wrong version number
HINT: This may indicate that the client does not support any SSL protocol version between TLSv1.1 and TLSv1.1.
LOG: could not accept SSL connection: unsupported protocol
HINT: This may indicate that the client does not support any SSL protocol version between TLSv1.2 and TLSv1.3.
この場合、クライアントはサーバーがサポートしていないバージョンの TLS プロトコルを使用してサーバーに接続しようとしています。PostgreSQL がサポートするバージョンを確認し、クライアント側の TLS のバージョンを調整してください。
pg_config --configureコマンドを実行すると、TLSバージョンを確認できます。
KongはTLSv1.2以上を推奨しています。下位バージョンは非推奨であり、安全とは見なされません。
サーバー証明書ファイルを読見込むことができない
このエラーメッセージが表示される場合:
FATAL: could not load server certificate file "server.crt": No such file or directory
サーバーが証明書ファイルを見つけられません。デフォルトでは、証明書ファイルの名前はserver.crtとなり、サーバーのデータディレクトリに配置されます。他の名前も使用できますが、 ssl_cert_fileで明示的に指定する必要があります。
秘密鍵ファイルにアクセスできませんでした
このエラーメッセージが表示される場合:
FATAL: could not access private key file "server.key": No such file or directory
サーバーが秘密鍵ファイルを見つけられません。デフォルトでは、秘密鍵ファイルの名前は server.key で、サーバーのデータディレクトリに配置する必要があります。別の命名規則を使用した場合は、 postgresql.confファイルのssl_key_fileパラメータを使用して明示的に設定する必要があります。
間違った秘密鍵の権限
FATAL: private key file "/certs/example.com.key" has group or world access
DETAIL: File must have permissions u=rw (0600) or less if owned by the database user, or permissions u=rw,g=r (0640) or less if owned by root.
このエラーが発生した場合、秘密鍵の権限が正しくありません。エラーメッセージの情報を使用して、秘密鍵に正しい権限を適用します。
SSL証明書の検証に失敗した
LOG: could not accept SSL connection: tlsv1 alert unknown ca
クライアントがPostgreSQLサーバー証明書の検証に失敗しました。この問題を解決するには、証明書がKong Gatewayに適用されている証明書と一致していることを確認してください。
証明書の検証に失敗しました
LOG: could not accept SSL connection: certificate verify failed
PostgreSQLサーバーはクライアント証明書の検証に失敗しました。この問題を解決するには、postgres.confのssl_ca_fileパラメータで指定されたサーバーがCAによって信頼されていることを確認します。
証明書の認証に失敗しましたuser
LOG: provided user name (kong) and authenticated user name (foo@example.com) do not match
FATAL: certificate authentication failed for user "kong"
このエラーメッセージは、クライアント証明書がデータベースで指定されたユーザー名と一致しない場合に表示されます。
接続には有効なクライアント証明書が必要です
FATAL: connection requires a valid client certificate
このエラーは、PostgreSQLサーバーが認証にクライアント証明書を必要とするが、クライアント（この場合はKong Gateway）が有効な証明書を提供できなかった場合に発生します。このタイプのエラーの場合は、pg_ssl_certとpg_ssl_cert_keyがkong.confで正しく設定されているかどうかを確認してください。
Kong GatewayでのTLSのトラブルシューティング
プロトコルのバージョンが一致しません
次のいずれかのエラーメッセージが表示された場合、
Error: [PostgreSQL error] failed to retrieve PostgreSQL server_version_num: tlsv1 alert protocol version
Error: [PostgreSQL error] failed to retrieve PostgreSQL server_version_num: unsupported protocol
サーバーとクライアントのバージョンが同期していません。PostgreSQLサーバーが使用しているバージョンを確認し、それに応じてKong Gatewayバージョンを調整します。
サーバーはSSL接続をサポートしていません
Error: [PostgreSQL error] failed to retrieve PostgreSQL server_version_num: the server does not support SSL connections
このエラーは、PostgreSQLでSSLがサポートされていない場合に発生します。設定手順に従ってPostgreSQLを構成します。
証明書の検証に失敗しました
Error: [PostgreSQL error] failed to retrieve PostgreSQL server_version_num: certificate verify failed
このエラーは、Kong GatewayがPostgreSQLサーバー証明書の検証に失敗した場合に起こります。PostgreSQLサーバーに信頼できる証明書が設定されており、対応するCAチェーンがkong.conf内のlua_ssl_trusted_certificateに正しく設定されていることを確認します。
接続には有効なクライアント証明書が必要です
Error: [PostgreSQL error] failed to retrieve PostgreSQL server_version_num: FATAL: connection requires a valid client certificate
Kong Gateway認証にクライアント証明書を必要としますが、クライアントは有効な証明書を提供できませんでした。
このエラーは、PostgreSQL サーバーが認証にクライアント証明書が必要とされていながら、 Kong Gatewayが有効な証明書を提供できない場合に発生します。このタイプのエラーの場合は、 pg_ssl_certとpg_ssl_cert_keyがkong.confで正しく設定されているかどうかを確認してください。
TLSv1アラート不明CA
Error: [PostgreSQL error] failed to retrieve PostgreSQL server_version_num: tlsv1 alert unknown ca
PostgreSQLサーバーはクライアント証明書の検証に失敗しました。postgres.conf内のssl_ca_fileに設定されているCAによって信頼されているクライアント証明書を使用します。
ユーザーの証明書認証に失敗した
Error: [PostgreSQL error] failed to retrieve PostgreSQL server_version_num: FATAL: certificate authentication failed for user "kong"
クライアント証明書のコモンネームが、データベースに設定されているユーザー名と一致しません。PostgreSQL構成手順の説明に従って、 pg_ident.confにユーザー名マッピングを追加します。
