O problema era que o jar do postgres era muito antigo.

Excluindo libpostgresql-jdbc-java do sistema, baixando e instalando 42.2.8 de https://jdbc. postgresql.org/download.html (não consegui encontrar as coordenadas do maven para isso) resolveu o problema de não encontrar o certificado.

Eu também tive que adicionar root.crt ao .postgresql, mas a partir do log de erros foi direto.

Agora o problema é que a chave privada não pode ser lida porque nenhum provedor de segurança a entende. Consulte configurar o tomcat/hibernate para ter um provedor de criptografia compatível com 1.2.840.113549.1.5.13 .