TLS 接続エラーのトラブルシューティング

Important

Microsoft は、中間 CA 証明書と結果の証明書チェーンを更新するために、Azure Database for PostgreSQL の TLS 証明書ローテーションを開始しました。ルート CA は同じままです。

クライアント構成で TLS の推奨構成を使用している場合は、何も行う必要はありません。

証明書のローテーションスケジュール

Azure リージョンの米国中西部、東アジア、英国南部では、2025 年 11 月 11 日に TLS 証明書のローテーションが開始されました。
2026 年 1 月 19 日以降、この証明書ローテーションは、Azure Government を含む残りの (中国を除く) リージョンまで拡張される予定です。
2026 年の春節 (旧正月) の後、中国のリージョンでは、 ルート CA の 1 つに変更を含む証明書ローテーションも行われます。

クライアント構成を検証する

計画的なローテーションの前にクライアント構成を検証するには、 TLS の推奨構成を実装していることを確認します。

ルート証明書ストアを確認する

クライアントのルート証明書ストアに、最低限必要なルート証明書またはルート証明書の完全なセットが含まれていることを確認します。

注意事項

クライアントのルート証明書ストア内の Azure ルート CA 証明書のみを信頼します。中間 CA または個々のサーバー証明書を信頼しないでください。これらの証明書を信頼すると、Microsoft が証明書チェーンを更新したり、個々のサーバー証明書をローテーションしたりするときに、予期しない接続の問題が発生する可能性があります。

TLS 接続の状態を確認する

現在の TLS 接続の状態を確認するには、 sslinfo 拡張機能を読み込み、 ssl_is_used() 関数を呼び出して TLS が使用されているかどうかを確認します。接続で TLS が使用されている場合、この関数は t を返します。それ以外の場合は、fを返します。また、次のクエリを使用して、プロセス、クライアント、アプリケーションによる Azure Database for PostgreSQL フレキシブルサーバーインスタンスの TLS 使用状況に関するすべての情報を収集することもできます。

SELECT datname as "Database name", usename as "User name", ssl, client_addr, application_name, backend_type
   FROM pg_stat_ssl
   JOIN pg_stat_activity
   ON pg_stat_ssl.pid = pg_stat_activity.pid
   ORDER BY ssl;

OpenSSL を使用して TLS 接続をテストする

テストでは、 openssl コマンドを使用して Azure Database for PostgreSQL に接続し、TLS 証明書を表示します。

openssl s_client -starttls postgres -showcerts -connect <your-postgresql-server-name>:5432

このコマンドは、TLS のバージョンや暗号などの低レベルのプロトコル情報を出力します。オプション -starttls postgresを使用する必要があります。それ以外の場合、このコマンドは TLS が使用されていないことを報告します。このコマンドを使用するには、少なくとも OpenSSL 1.1.1 が必要です。

読み取りレプリカ

ルート CA の Microsoft RSA Root CA 2017 への移行が行われると、新しく作成されたレプリカでは、プライマリサーバーが以前に作成された場合、プライマリサーバーよりも新しいルート CA 証明書を使用できます。 sslmode=verify-caおよびsslmode=verify-full構成設定を使用するクライアントの場合は、新規および既存のサーバーでローテーションが完了するまで、新規および以前のルート CA 証明書を受け入れる必要があります。

Troubleshoot

問題を再現します。
クライアント側のエラーメッセージ、psql 出力、OpenSSL s_client出力、サーバーログなどの診断データを収集します。
require_secure_transport、ssl_min_protocol_version、ssl_max_protocol_versionなど、サーバーパラメーターを確認します。
証明書チェーンとクライアントの sslmode と sslrootcert の設定を確認して、プロトコルのバージョン、暗号スイート、または証明書の欠落またはローテーションの不一致を特定します。