AnalyticDB:SSL encryption

Prérequis

Le cluster AnalyticDB for MySQL doit exécuter la version 3.2.1.0 ou ultérieure du noyau.

Informations générales

SSL est un protocole de sécurité développé par Netscape afin d'établir un canal sécurisé entre les navigateurs et les serveurs web pour la transmission des données. Il utilise des algorithmes de chiffrement tels que RC4, MD5 et RSA pour garantir la sécurité des communications. L'Internet Engineering Task Force (IETF) a normalisé SSL 3.0 et l'a renommé Transport Layer Security (TLS). Le terme SSL étant plus couramment utilisé, cette rubrique emploie l'expression « chiffrement SSL » pour désigner le chiffrement TLS.

Remarques d'utilisation

• Un certificat SSL est valide pendant un an. Renouvelez le certificat avant son expiration afin d'éviter les échecs de connexion pour les clients utilisant des connexions chiffrées.

• L'activation du chiffrement SSL augmente l'utilisation du CPU en raison de la surcharge de traitement inhérente. Nous vous recommandons de l'activer uniquement si votre activité professionnelle l'exige.

• L'activation ou la désactivation du chiffrement SSL, ainsi que la mise à jour d'un certificat, entraînent le redémarrage du nœud Controller et provoquent une interruption temporaire de la connexion. Effectuez ces opérations pendant les heures creuses et assurez-vous que votre application dispose d'un mécanisme de reconnexion.

Activer le chiffrement SSL

1. Connectez-vous à la console AnalyticDB for MySQL. Dans le coin supérieur gauche de la console, sélectionnez une région. Dans le volet de navigation de gauche, cliquez sur Clusters. Recherchez le cluster que vous souhaitez gérer et cliquez sur son ID.

2. Accédez à la page de configuration SSL.

   • Pour les clusters Enterprise Edition, Basic Edition et Data Lakehouse Edition : dans le volet de navigation de gauche, cliquez sur Cluster Settings.

   • Pour les clusters Data Warehouse Edition : dans le volet de navigation de gauche, cliquez sur Data Security.

3. Dans l'onglet SSL Settings, activez le commutateur SSL Status.

4. Dans la boîte de dialogue Configure SSL, sélectionnez l'endpoint à protéger et cliquez sur OK.

   Important

   • AnalyticDB for MySQL vous permet de chiffrer un endpoint interne ou public, mais un seul endpoint par cluster. Après avoir activé le chiffrement SSL, vous pouvez cliquer sur Configure SSL pour modifier l'endpoint chiffré. Lorsque vous changez l'endpoint, le certificat est automatiquement mis à jour et le nœud Controller est redémarré.

   • Pour chiffrer l'endpoint public, vous devez d'abord activer un endpoint public pour le cluster.

5. Après avoir activé le SSL encryption, cliquez sur Download Certificate.

   Le package compressé téléchargé contient les trois fichiers suivants :

   • Un fichier .p7b : utilisé pour importer le certificat CA sous Windows.

   • Un fichier .pem : utilisé pour importer le certificat CA dans d'autres systèmes ou applications.

   • Un fichier .jks : fichier de certificat Java TrustStore. Le mot de passe est apsaradb. Ce fichier sert à importer la chaîne de certificats CA dans les applications Java.

     Lorsque vous utilisez le fichier de certificat JKS dans Java, vous devez modifier les paramètres de sécurité par défaut de JDK 7 et JDK 8. Sur l'hôte où s'exécute votre application, modifiez les deux paramètres suivants dans le fichier jre/lib/security/java.security :

     jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
     jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

     Si vous ne modifiez pas les paramètres de sécurité du JDK, une erreur similaire à celle ci-dessous est signalée. De telles erreurs sont généralement causées par les paramètres de sécurité Java.

     javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

Renouveler un certificat SSL

1. Connectez-vous à la console AnalyticDB for MySQL. Dans le coin supérieur gauche de la console, sélectionnez une région. Dans le volet de navigation de gauche, cliquez sur Clusters. Recherchez le cluster que vous souhaitez gérer et cliquez sur son ID.

2. Accédez à la page de configuration SSL.

   • Pour les clusters Enterprise Edition, Basic Edition et Data Lakehouse Edition : dans le volet de navigation de gauche, cliquez sur Cluster Settings.

   • Pour les clusters Data Warehouse Edition : dans le volet de navigation de gauche, cliquez sur Data Security.

3. Dans l'onglet SSL Settings, cliquez sur Update Validity.

Désactiver le chiffrement SSL

1. Connectez-vous à la console AnalyticDB for MySQL. Dans le coin supérieur gauche de la console, sélectionnez une région. Dans le volet de navigation de gauche, cliquez sur Clusters. Recherchez le cluster que vous souhaitez gérer et cliquez sur son ID.

2. Accédez à la page de configuration SSL.

   • Pour les clusters Enterprise Edition, Basic Edition et Data Lakehouse Edition : dans le volet de navigation de gauche, cliquez sur Cluster Settings.

   • Pour les clusters Data Warehouse Edition : dans le volet de navigation de gauche, cliquez sur Data Security.

3. Dans l'onglet SSL Settings, désactivez le commutateur SSL Status.

4. Dans la boîte de dialogue Disable SSL qui s'affiche, cliquez sur OK.

API associées