È negativo fornire all'utente www-data l'accesso al certificato del client Postgres?

La tua applicazione ha bisogno di un modo per accedere al database, quindi non vedo alcun rischio. Per qualcuno che ruba il certificato, dovrebbero compromettere l'applicazione e, a quel punto, potrebbero comunque inviare richieste.

Assicurati solo che il certificato consenta l'accesso al minimo necessario all'applicazione (privilegio minimo) e, se possibile, blocca l'accesso all'IP del server Web, quindi un certificato rubato non può essere riutilizzato da un'altra macchina.

In definitiva, il server web ha bisogno di accedere al suo database. Usare le autorizzazioni di file per un utente limitato è un modo provato e vero per farlo, quindi non penso che tu stia facendo qualcosa di inappropriato qui. Ci sono alcuni strumenti - come Hashicorp's Vault, KeyWhiz, ecc. - che forniscono alcune alternative a questo, ma anche quelli alla fine hanno bisogno di un modo per identificare l'utente valido (anche se ti danno alcune alternative, come permettere una sola richiesta da un dato Istanza EC2 che può essere più sicura in alcuni casi, specialmente in una situazione in cui si esegue la scalabilità automatica e se un'istanza fallisce viene abbattuta.)