Erro SSL ao acessar banco de dados Postgresql no Azure a partir de um App Service (no encryption)

Apesar de já ter configurado as variáveis de ambiente DB_POSTGRESDB_SSL=true e DB_POSTGRESDB_SSL_MODE=require o erro acontece.

A solução encontrada neste link propõe adicionar as seguintes variáveis no App Service:

DB_POSTGRESDB_SSL_REJECT_UNAUTHORIZED=true

DB_POSTGRESDB_SSL_CA_FILE=/files/DigiCertGlobalRootCA.crt.pem

Porém ao executar o projeto recebo o seguinte erro: 2025-05-20T14:15:34.1082056Z code: ENOENT 2025-05-20T14:15:34.1082079Z message: ENOENT: no such file or directory, open '/files/DigiCertGlobalRootCA.crt.pem'

Como eu configuro o certificado usado pelo azure no diretório?

Hi @Arthur Leite
Thanks for Your Response.
To resolve the SSL error when accessing your PostgreSQL database in Azure from an App Service, ensure the certificate file DigiCertGlobalRootCA.crt.pem is correctly located in the directory specified by your environment variable DB_POSTGRESDB_SSL_CA_FILE. The error message indicates that the file could not be found at the specified location (/files/DigiCertGlobalRootCA.crt.pem).

Obtain the DigiCert Global Root CA certificate from a trusted source. It is available at DigiCert Global Root G2.

Upload the .crt.pem file to your Azure App Service via the Azure portal, FTP, or Azure CLI.

Ensure the path in DB_POSTGRESDB_SSL_CA_FILE matches the certificate's location. For instance, if uploaded to the root directory, set it to /DigiCertGlobalRootCA.crt.pem instead of /files/DigiCertGlobalRootCA.crt.pem.

Confirm that the App Service has the necessary permissions to access the certificate file.

After making these changes, restart your App Service and try connecting to the PostgreSQL database again
References:

• Configure TLS in Azure Cosmos DB for PostgreSQL
• Secure connectivity with TLS and SSL in Azure Database for PostgreSQL flexible server
  Let me know if you have any further assistances needed.

Olá Arthur Leite,

O problema que você está enfrentando ocorre porque o Serviço de Aplicativo está tentando se conectar ao banco de dados PostgreSQL do Azure sem criptografia SSL, mas o servidor está configurado para exigir conexões seguras. Mesmo que você tenha adicionado variáveis ​​de ambiente relacionadas a SSL, o problema é que o caminho fornecido para o arquivo de certificado não existe dentro do Serviço de Aplicativo, então ele gera um erro "arquivo ou diretório inexistente".

Para corrigir isso, você precisa usar o certificado correto e verificar se ele realmente existe no seu Serviço de Aplicativo. Você pode baixar o certificado mais recente da Microsoft usando este link:

https://www.microsoft.com/pkiops/certs/Microsoft%20RSA%20Root%20Certificate%20Authority%202017.crt

Após o download, se o seu aplicativo precisar dele no formato .pem, você poderá convertê-lo usando este comando:

openssl x509 -inform DER -in "Microsoft RSA Root Certificate Authority 2017.crt" -out MicrosoftRootCA.pem -outform PEM

Em seguida, carregue o arquivo .pem convertido para o seu Serviço de Aplicativo. Você pode fazer isso pelo console do Kudu. Acesse o seu Serviço de Aplicativo no portal do Azure e, em Ferramentas Avançadas, abra o Kudu e use o Console de Depuração para criar uma pasta como D:\home\site\certs. Carregue o arquivo .pem lá usando a opção de upload do navegador.

Assim que o certificado estiver instalado, volte para as configurações do Serviço de Aplicativo e adicione ou atualize suas variáveis ​​de ambiente como esta:

• DB_POSTGRESDB_SSL=true
• DB_POSTGRESDB_SSL_MODE=verify-full
• DB_POSTGRESDB_SSL_CA_FILE=D:\home\site\certs\MicrosoftRootCA.pem

Além disso, certifique-se de que sua string de conexão do PostgreSQL esteja atualizada para usar SSL e aponte para o arquivo de certificado correto. Deve ficar algo assim:

Host=<servidor-db>.privatelink.postgres.database.azure.com;Port=5432;Nome-de-usuário=<nome-de-usuário>;Senha=<senha>;Banco-de-dados=<nome-do-db>;sslmode=verify-full;sslrootcert=D:\home\site\certs\MicrosoftRootCA.pem;

Após fazer tudo isso, reinicie o Serviço de Aplicativo. Isso deve permitir que ele se conecte com segurança ao seu banco de dados PostgreSQL via SSL usando o endpoint privado. por favor verifique o documento de referência:https://stackoverflow.com/questions/75618406/azure-connection-between-app-service-and-azure-postgresql-database-using-ad

Olá @Bodapati Harish

Fiz o download do certificado que me informou e coloquei no diretório correto do File Share utilizado como volume pelo container n8n que está no App Service:

• DB_POSTGRESDB_SSL=true
• DB_POSTGRESDB_SSL_MODE=verify-full
• DB_POSTGRESDB_SSL_CA_FILE=/home/node/n8n_data/files/certs/MicrosoftRootCA.pem
• DB_POSTGRESDB_SSL_REJECT_UNAUTHORIZED=true

A conexão conseguiu obter o certificado, porém o erro exibido foi Hostname/IP does not match certificate's altnames indicando aparentemente que o nome do host usado na conexão (<db-server-name>.privatelink.postgres.database.azure.com) não corresponde aos nomes alternativos listados no certificado SSL do servidor.

Como solução alterei a string de conexão para usar o HOST <db-server-name>.postgres.database.azure.com sem o parâmetro privatelink. E funcionou.

Porém nesta solução eu paro de usar o private end-point na conexão entre os serviços? Como eu poderia configurar o endereço do privatelink no certificado?