ApsaraDB RDS:Configure SSL encryption for a database proxy endpoint

Requisitos previos

Antes de empezar, asegúrese de contar con lo siguiente:

• Una versión de MySQL compatible:

  • MySQL 8.0 en RDS High-availability Edition con una versión menor del motor 20200831 o posterior

  • MySQL 8.0 Cluster Edition

  • MySQL 5.7 Cluster Edition

  • MySQL 5.7 en RDS High-availability Edition con una versión menor del motor 20200831 o posterior

  • MySQL 5.6 en RDS High-availability Edition con una versión menor del motor 20200831 o posterior

  Si su instancia RDS tiene instancias de solo lectura, estas también deben cumplir con los requisitos de minor engine version.

• La función de proxy de base de datos habilitada. Para más información, consulte Enable the database proxy feature.

• Una versión de PolarProxy minor engine version 2.25.3 o posterior

• Un endpoint de proxy de base de datos cuya longitud total no exceda los 64 caracteres

Límites

El cifrado SSL se puede configurar únicamente en un endpoint de proxy de base de datos por cada instancia de proxy.

Habilitar el cifrado SSL

1. Vaya a la página RDS Instances. En la barra de navegación superior, seleccione la región donde reside su instancia RDS. Luego, haga clic en el ID de la instancia.

2. En el panel de navegación izquierdo, haga clic en Database Proxy.

3. En la sección Connection Information, pase el cursor sobre el ID del endpoint de proxy de base de datos deseado. En la sección SSL Configuration del cuadro de diálogo que aparece, haga clic en Enable a la derecha de SSL Certificate.

4. En el cuadro de diálogo que aparece, seleccione el endpoint que desea cifrar y haga clic en OK.

5. Una vez que el estado de SSL cambie a Enabled, haga clic en Download CA Certificate a la derecha de SSL Certificate. El archivo descargado es un paquete comprimido que contiene los siguientes archivos de certificado:

   Si utiliza el archivo de certificado JKS con JDK 7 o JDK 8, actualice las siguientes entradas en jre/lib/security/java.security en el host donde se ejecuta su aplicación: `` jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224 jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024 ` Sin esta actualización, las conexiones fallarán con el error: ` javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints ``

   Formato de archivo	Cuándo utilizarlo
   PEM	La mayoría de los escenarios
   JKS	Aplicaciones Java. Importe el certificado CA en formato PEM a un almacén de confianza y conviértalo a JKS. La contraseña del archivo JKS es apsaradb.
   P7B	Aplicaciones Windows que requieren archivos de certificado PKCS #7

Configurar el certificado CA SSL

Después de descargar el certificado CA, configúrelo en su aplicación. Una vez configurado el certificado CA SSL, podrá verificar el certificado del servidor de base de datos. Para más información, consulte Configure a CA certificate.

Cambiar el endpoint protegido

1. Vaya a la página Instances. En la barra de navegación superior, seleccione la región donde reside su instancia RDS. Localice la instancia y haga clic en su ID.

2. En el panel de navegación izquierdo, haga clic en Database Proxy.

3. En la sección Connection Information, pase el cursor sobre el ID del endpoint de proxy de base de datos deseado. En la sección SSL Configuration del cuadro de diálogo que aparece, haga clic en Change Protected Endpoint debajo de Protected Endpoint.

4. Seleccione el endpoint que desea cifrar y haga clic en OK.

Actualizar el periodo de validez del certificado

1. Vaya a la página Instances. En la barra de navegación superior, seleccione la región donde reside su instancia RDS. Localice la instancia y haga clic en su ID.

2. En el panel de navegación izquierdo, haga clic en Database Proxy.

3. En la sección Connection Information, pase el cursor sobre el ID del endpoint de proxy de base de datos deseado. En la sección SSL Configuration del cuadro de diálogo que aparece, haga clic en Update Expiration Time a la derecha de SSL Certificate. En el cuadro de diálogo que aparece, haga clic en OK.

Deshabilitar el cifrado SSL

1. Vaya a la página Instances. En la barra de navegación superior, seleccione la región donde reside su instancia RDS. Localice la instancia y haga clic en su ID.

2. En el panel de navegación izquierdo, haga clic en Database Proxy.

3. En la sección Connection Information, pase el cursor sobre el ID del endpoint de proxy de base de datos deseado. En la sección SSL Configuration del cuadro de diálogo que aparece, haga clic en Disable a la derecha de SSL Certificate. En el cuadro de diálogo que aparece, haga clic en OK.

Referencia de API

Pasos siguientes

• Sample code for connecting to a database over SSL

• FAQ about SSL encryption