Cifrado de enlace SSL - ApsaraDB for OceanBase (Deprecated) - Centro de documentación de Alibaba Cloud

Este tema describe cómo usar la función de cifrado de enlace mediante Secure Socket Layer (SSL).

Información de contexto

Para mejorar la seguridad del enlace, OceanBase Database permite habilitar el cifrado SSL. Esta función cifra las conexiones de red en la capa de transporte para aumentar la seguridad de los datos de comunicación. Una vez habilitada la conexión SSL, puede configurar los ajustes para exigir que el cliente use una conexión SSL al acceder.

Nota

Una vez habilitado el cifrado de enlace SSL, no es posible deshabilitarlo. El rendimiento de la instancia podría verse ligeramente afectado, ya que el cifrado y descifrado de certificados consume recursos de cómputo. Se recomienda habilitar el cifrado de enlace SSL únicamente cuando exista acceso desde Internet o se requiera cifrado en la transmisión.
El cifrado de enlace SSL es compatible con ApsaraDB for OceanBase V2.2.76 y versiones posteriores.
Actualmente, el cifrado de enlace SSL es compatible con instancias de clúster Standard Edition (Key-Value).
El cifrado de enlace SSL no surte efecto en direcciones de conexión directa.

Procedimiento

Inicie sesión en la consola de ApsaraDB for OceanBase.
En el panel de navegación izquierdo, haga clic en Instances.
Localice la instancia de clúster deseada en la lista y haga clic en su nombre para ir a la página Cluster Instance Workspace.
En el panel de navegación izquierdo, haga clic en Security Settings.
Haga clic en la pestaña SSL Link Encryption. Puede realizar las siguientes operaciones:
1. Habilite SSL Link Encryption. El proceso tarda entre 3 y 5 minutos aproximadamente. Después de habilitar el cifrado de enlace SSL, puede elegir si desea activar Force SSL Connection en ciertas ediciones. La opción Force SSL Connection solo se muestra cuando la edición actual de la instancia de clúster la admite.
  
  Nota
  Al habilitar Force SSL Connection, se bloquearán las conexiones que no sean SSL y fallarán las conexiones sin SSL creadas anteriormente. En este caso, deberá modificar el método de conexión.
2. Haga clic en Download CA Certificate para descargar el certificado.
  
  El paquete descargado contiene tres archivos:
  - Archivo .p7b: se usa para importar certificados de CA en sistemas operativos Windows.
  - Archivo .pem: se usa para importar certificados de CA en otros sistemas o aplicaciones.
  - Archivo .jks: archivo de certificado Java TrustStore que se usa para importar cadenas de certificados de CA en aplicaciones Java. La contraseña es OceanBase.
  Nota
  Si usa el archivo .jks en JDK 7 o JDK 8, debe modificar la configuración de seguridad predeterminada de JDK. Específicamente, localice el archivo java.security en el directorio jre/lib/security del servidor donde se encuentra la aplicación y reconfigure el archivo de la siguiente manera:
  jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224 jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024
  Si no modifica la configuración de seguridad de JDK, se notificará el siguiente error. Por lo general, otros errores similares también se deben a la configuración de seguridad de JDK.
  javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints
3. Haga clic en Update Validity Period y actualice el SSL Certificate Validity Period.
4. Habilite Auto-renewal of SSL Certificate Validity Period. Al activar esta opción, el certificado se renueva automáticamente siete días antes de su vencimiento. Cada renovación tiene una validez de 360 días.