PolarDB:Configure SSL encryption

Paso 1: Habilitar el cifrado SSL

1. Inicie sesión en la consola de PolarDB. En el panel de navegación izquierdo, haga clic en Clusters. Seleccione la región donde se encuentra su clúster y luego haga clic en el ID del clúster.

2. En el panel de navegación izquierdo, elija Settings and Management > Security.

3. En la pestaña SSL Settings, active el interruptor SSL Status para habilitar el cifrado SSL.

   Nota

   Se puede configurar SSL para endpoints primarios, de clúster y personalizados.

4. En el cuadro de diálogo Configure SSL, seleccione el endpoint que desea cifrar y luego haga clic en OK.

Paso 2: Descargar el certificado

Una vez habilitado el cifrado SSL, descargue el certificado del clúster de PolarDB para verificar la autenticidad de la base de datos cuando un cliente se conecte de forma remota al clúster de PolarDB.

1. En la pestaña SSL Settings, haga clic en Download en la sección del endpoint deseado.

2. El archivo descargado es un paquete comprimido que contiene los tres archivos siguientes:

   • Archivo .p7b: Para importar el certificado de CA en Windows.

   • Archivo .pem: Para importar el certificado de CA en otros sistemas o aplicaciones.

   • Archivo .jks: Archivo de certificado de almacén de confianza de Java, con la contraseña apsaradb, para importar la cadena de certificados de CA en aplicaciones Java.

     Nota

     Cuando utilice el archivo de certificado JKS en Java, debe modificar la configuración de seguridad predeterminada de JDK 7 y JDK 8. En el servidor que se conecta a la base de datos de PolarDB, edite el archivo jre/lib/security/java.security y modifique los dos parámetros siguientes:

     jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
     jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

     Si no modifica la configuración de seguridad de JDK, puede producirse un error similar al siguiente. Este y otros errores relacionados suelen deberse a una configuración de seguridad de Java incorrecta.

     javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

Paso 3: Conectarse a PolarDB desde un cliente

Después de habilitar el cifrado SSL, el hecho de que la conexión entre un cliente y el clúster de PolarDB esté cifrada depende del tipo y la configuración del cliente. Por ejemplo, algunos clientes usan conexiones cifradas de forma predeterminada. Modifique la configuración o el código del cliente para establecer una conexión cifrada y verificar la identidad del clúster de PolarDB.

mysql -h {endpoint} -u {username} -p --ssl-mode=PREFERRED

mysql -h {endpoint} -u {username} -p --ssl-mode=VERIFY_CA --ssl-ca={CA certificate path}/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.example.ssltest;
import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
public class Main {
    public static void main(String[] args) {
       Connection conn = null;
        MysqlDataSource mysqlDS=null;
        try{
            mysqlDS = new MysqlDataSource();
            // Set SslMode as needed. For options, see the command-line connection instructions.
            mysqlDS.setSslMode("VERIFY_IDENTITY");
            // The truststore contains the CA certificate. Set the truststore type to JKS.
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // Replace the path after file:/ with the path to your ApsaraDB-CA-Chain.jks file.
            mysqlDS.setTrustCertificateKeyStoreUrl("file://{CA certificate path}/ApsaraDB-CA-Chain.jks");
            // The password for the downloaded JKS file is apsaradb and cannot be changed.
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
            // Your database endpoint
            mysqlDS.setServerName("your_polardb_host");
            // Your database port
            mysqlDS.setPort(3306);
            // Your database username
            mysqlDS.setUser("your_username");
            // Your database password
            mysqlDS.setPassword("your_password");
            // Your database name
            mysqlDS.setDatabaseName("your_database");
            System.out.println("Attempting to connect to the database...");
            conn = mysqlDS.getConnection();
            System.out.println("Database connection successful!");
            // Use try-with-resources to ensure Statement and ResultSet are automatically closed.
            try (Statement stmt = conn.createStatement();
                 ResultSet rs = stmt.executeQuery("SELECT VERSION()")) {
                // Check if the query returned a result.
                if (rs.next()) {
                    // Get the result from the first column and print it.
                    String dbVersion = rs.getString(1);
                    System.out.println("Database version: " + dbVersion);
                } else {
                    System.out.println("Failed to retrieve database version information.");
                }
            }
        }catch(Exception e){
            e.printStackTrace();
        } finally {
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

# Install pymysql
# pip install pymysql
import pymysql
# --- Configure your database information ---
db_config = {
    'host': 'your_polardb_host',          # Your cluster endpoint
    'user': 'your_username',            # Your username
    'password': 'your_password',        # Your password
    'database': 'your_database',        # The database you want to connect to
    'port': 3306
}
# --- Configure SSL information ---
ssl_args = {
    'ca': '{CA certificate path}/ApsaraDB-CA-Chain.pem',
    'mode': 'VERIFY_CA'
}
try:
    # Establish a connection, passing ssl parameters
    print("Attempting to connect to MySQL with SSL...")
    connection = pymysql.connect(**db_config, ssl=ssl_args)
    print("SSL connection successful!")
    with connection.cursor() as cursor:
        # Execute a simple query to verify the connection
        cursor.execute("SELECT VERSION()")
        version = cursor.fetchone()
        print(f"Database version: {version[0]}")
except pymysql.MySQLError as e:
    # Printing SSL-related errors can be helpful for troubleshooting
    print(f"Connection failed: {e}")
finally:
    if 'connection' in locals() and connection.open:
        connection.close()
        print("Database connection closed.")

Paso 4: Verificar la conexión cifrada

El protocolo SSL tiene varias versiones. Actualmente, PolarDB es compatible con TLSv1.2 y posteriores. Durante el handshake SSL, el cliente y el servidor de PolarDB negocian los parámetros de conexión, incluida la versión de TLS, el conjunto de cifrado y la clave de sesión. Para consultar la lista detallada de conjuntos de cifrado, visite el sitio web oficial de OpenSSL.

1. Conéctese al clúster de PolarDB mediante un cliente configurado para SSL.

2. Ejecute la siguiente consulta SQL:

   SHOW STATUS LIKE 'ssl_cipher';
   +---------------+---------------------------+
   | Variable_name | Value                     |
   +---------------+---------------------------+
   | Ssl_cipher    | DHE-RSA-AES256-GCM-SHA384 |
   +---------------+---------------------------+

3. Analice el resultado:

   • Si la columna Value devuelve un valor no vacío, como DHE-RSA-AES256-GCM-SHA384, la conexión actual está cifrada.

   • Si la columna Value está vacía, la conexión actual no está cifrada. Revise la configuración de su cliente.

Modificar el endpoint protegido

Para cambiar el endpoint protegido por SSL, haga clic en Configure SSL en la sección de dicho endpoint.

Actualizar el periodo de validez del certificado

Si cambia el endpoint SSL o el certificado está a punto de caducar, debe actualizar manualmente el periodo de validez del certificado.

1. En la pestaña SSL Settings, haga clic en Update Validity Period.

2. En el cuadro de diálogo que aparece, haga clic en OK.

3. Una vez actualizado el periodo de validez, download y configure el nuevo certificado.

Habilitar la rotación automática de certificados

Si habilita la rotación automática de certificados, PolarDB renueva automáticamente el certificado durante la ventana de mantenimiento del clúster, dentro de los 10 días previos a su caducidad.

1. En la pestaña SSL Settings, haga clic en Advanced Settings.

2. En el cuadro de diálogo Advanced Settings, habilite la rotación automática de certificados y haga clic en Confirm.

Deshabilitar el cifrado SSL

1. En la pestaña SSL Settings, desactive el interruptor SSL Status para deshabilitar el cifrado SSL.

2. En el cuadro de diálogo que aparece, haga clic en OK.