要启用带TLS协议的STARTTLS，在pg_hba.conf文件中，增加一个 ldap行，并制定ldaptls参数值为1。 默认端口是389。在此示例中，认证方法参数包括ldaptls参数。

ldap ldapserver=myldap.com ldaptls=1 ldapprefix="uid=" ldapsuffix=",ou=People,dc=example,dc=com"

使用指定非默认端口ldapport 参数。在此示例中， 认证方法参数包括ldaptls参数， 包括指定550端口的ldapport参数。

ldap ldapserver=myldap.com ldaptls=1 ldapport=500 ldapprefix="uid=" ldapsuffix=",ou=People,dc=example,dc=com"

如果有一个系统级的OpenLDAP系统，并且在pg_hba.conf文件中配置使用带TLS或者SSL的LDAP登录，则登录可能会失败并显示以下消息：

could not start LDAP TLS session: error code '-11'

要使用现有的OpenLDAP系统进行身份验证，Greenplum数据库必须被设置为使用该LDAP服务器的CA证书来验证用户证书。 在master主机和standby主机上执行以下步骤以配置Greenplum数据库：

1. 将base64编码的根CA链文件从活动目录或LDAP服务器复制到Greenplum数据库的master主机和standby主机。在此示例中，使用/etc/pki/tls/certs目录。
2. 切换到复制CA证书文件的目录，并以root用户身份为OpenLDAP生成哈希：

   # cd /etc/pki/tls/certs  
   # openssl x509 -noout -hash -in <ca-certificate-file>  
   # ln -s <ca-certificate-file> <ca-certificate-file>.0

3. 使用指定的CA证书目录和证书文件为Greenplum数据库配置OpenLDAP配置文件。

   以root用户身份编辑OpenLDAP配置文件/etc/openldap/ldap.conf内容：

   SASL_NOCANON on
    URI ldaps://ldapA.example.priv ldaps://ldapB.example.priv ldaps://ldapC.example.priv
    BASE dc=example,dc=priv
    TLS_CACERTDIR /etc/pki/tls/certs
    TLS_CACERT /etc/pki/tls/certs/<ca-certificate-file>

   Note: 要使证书验证成功，证书中的主机名必须与URI属性中的主机名匹配。否则，您还必须添加TLS_REQCERT allow参数到文件中。
4. 以gpadmin用户身份，编辑/usr/local/greenplum-db/greenplum_path.sh并添加以下行。

   export LDAPCONF=/etc/openldap/ldap.conf

如果在pg_hba.conf文件的条目中指定了以下内容，则Greenplum数据库会记录错误：

• 同时指定了ldaps://前缀，和ldaptls=1参数
• 同时指定了ldaps://前缀，和ldapport参数