要启用用TLS协议的STARTTLS，在pg_hba.conf文件中增加一个ldap行并且指定ldaptls参数的值为1。默认端口是389。在这个例子中，认证方法参数包括ldaptls参数。

ldap ldapserver=myldap.com ldaptls=1 ldapprefix="uid=" ldapsuffix=",ou=People,dc=example,dc=com"

用ldapport参数可以指定一个非默认的端口。在这个例子中，认证方法包括ldaptls参数和指定端口为550的ldapport参数。

ldap ldapserver=myldap.com ldaptls=1 ldapport=500 ldapprefix="uid=" ldapsuffix=",ou=People,dc=example,dc=com"

如果有一个系统级的OpenLDAP系统并且在pg_hba.conf文件中配置登录使用带TLS或者SSL的LDAP，登录可能会失败并且给出下面的消息：

could not start LDAP TLS session: error code '-11'

要把一个现有的OpenLDAP系统用于认证，Greenplum数据库必须被设置为使用该LDAP服务器的CA证书来验证用户证书。在Master和后备主机上按照下列步骤配置Greenplum数据库：

1. 从活动目录或者LDAP服务器中复制base64编码的根CA链文件到Greenplum数据库的Master和后备Master主机。这个例子使用目录/etc/pki/tls/certs。
2. 以root用户切换到复制该CA证书文件的目录，为OpenLDAP生成哈希：

   # cd /etc/pki/tls/certs  
   # openssl x509 -noout -hash -in <ca-certificate-file>  
   # ln -s <ca-certificate-file> <ca-certificate-file>.0

3. 用指定的CA证书目录和证书文件为Greenplum数据库配置一个OpenLDAP配置文件。

   作为root用户编辑OpenLDAP配置文件 /etc/openldap/ldap.conf：

   SASL_NOCANON on
    URI ldaps://ldapA.example.priv ldaps://ldapB.example.priv ldaps://ldapC.example.priv
    BASE dc=example,dc=priv
    TLS_CACERTDIR /etc/pki/tls/certs
    TLS_CACERT /etc/pki/tls/certs/<ca-certificate-file>

   注意： 为了让证书验证成功，证书中的主机名必须匹配URI属性中的一个主机名。否则，还必须在该文件中增加TLS_REQCERT allow。
4. 作为gpadmin用户编辑/usr/local/greenplum-db/greenplum_path.sh并且添加下列行。

   export LDAPCONF=/etc/openldap/ldap.conf

如果在一个pg_hba.conf文件条目中出现下列情况，Greenplum数据库会记录一个错误：

• 如果同时指定ldaps://前缀和ldaptls=1参数。
• 如果同时指定ldaps://前缀和ldapport参数。