Аутентификация по сертификату SSL X.509

Опция 'strict' включает обязательную проверку сертификатов входящих соединений в библиотеке SSL. В этом случае могут быть установлены только соединения, представившие действительный сертификат. Соединения с недоверенными сертификатами будут отвергнуты. Таким образом, проверка сертификата позволяет однозначно аутентифицировать входящее соединение. Идентификация пользователя осуществляется по полю Common Name или subjectAltName сертификата. Это позволяет ассоциировать несколько сертификатов с одним и тем же пользователем. Дополнительно, перевыпуск и отзыв сертификата не требуют изменения конфигурации ClickHouse.

Для включения аутентификации по SSL сертификату, необходимо указать список Common Name или subjectAltName для каждого пользователя ClickHouse в файле настройки config.xml:

Example

Для правильной работы SSL chain of trust важно также убедиться в правильной настройке параметра caConfig