Resolvendo o erro de verificação de certificado SSL no ClickHouse

O erro geralmente é exibido como:

Code: 210. DB::NetException: SSL Exception: error:1000007d:SSL routines:OPENSSL_internal:CERTIFICATE_VERIFY_FAILED

Este erro ocorre ao tentar se conectar a um servidor ClickHouse usando clickhouse-client. A causa do erro é uma das seguintes:

• o arquivo de configuração do cliente, config.xml, não inclui o certificado raiz no repositório padrão de CAs da máquina; ou
• há um certificado de CA autossinado ou de uma CA interna que não está configurado

Se estiver usando uma CA interna ou autossinada, configure o certificado raiz da CA em config.xml, no diretório do cliente (por exemplo, /etc/clickhouse-client), e desative o carregamento, a partir do local padrão, dos certificados raiz de CA padrão.

Veja um exemplo de configuração:

<openSSL>
    <client>
        <loadDefaultCAFile>false</loadDefaultCAFile>
        <caConfig>/etc/clickhouse-server/certs/marsnet_ca.crt</caConfig>
        <cacheSessions>true</cacheSessions>
        <disableProtocols>sslv2,sslv3</disableProtocols>
        <preferServerCiphers>true</preferServerCiphers>
        <invalidCertificateHandler>
            <name>RejectCertificateHandler</name>
        </invalidCertificateHandler>
    </client>
</openSSL>

Os clientes Python relatam esse erro de forma diferente, normalmente assim:

ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate

No macOS, a compilação do Python distribuída pelo python.org verifica certificados usando os caminhos padrão do OpenSSL, em vez do chaveiro do sistema. Em uma instalação nova, esses caminhos não apontam para nenhum pacote de certificados raiz: o instalador inclui certifi, mas não o vincula ao local padrão do OpenSSL até que você execute o script incluído Install Certificates.command. Até lá, o cliente não consegue validar o certificado do servidor do ClickHouse Cloud, mesmo que esse certificado seja válido. Isso afeta as compilações do python.org para macOS em geral (Python 3.6 e versões posteriores), não apenas o Python 3.11.

Execute Install Certificates.command para vincular o certifi ao caminho padrão de certificados do OpenSSL. Ajuste a versão no caminho para corresponder à sua instalação:

open "/Applications/Python 3.11/Install Certificates.command"

Como alternativa, aponte seu cliente diretamente para o pacote do certifi. ClickHouse Connect não usa o certifi automaticamente como alternativa, portanto passe o pacote pelo parâmetro ca_cert:

import certifi
import clickhouse_connect

client = clickhouse_connect.get_client(
    host='HOSTNAME.clickhouse.cloud',
    port=8443,
    username='default',
    password='YOUR_SECRET_PASSWORD',
    ca_cert=certifi.where(),
)

Consulte a documentação de configuração do clickhouse-client.