Hologres:Chiffrement en transit

Scénarios

Le chiffrement SSL en transit convient aux scénarios suivants :

• Accès distant à la base de données : lorsqu'un client doit accéder à une base de données depuis un emplacement distant, le chiffrement SSL en transit sécurise les données échangées.

• Respect des exigences de conformité : de nombreuses normes sectorielles et réglementations exigent le chiffrement des données en transit. Le chiffrement SSL aide votre organisation à satisfaire à ces exigences de sécurité et de conformité.

Le protocole SSL chiffre les connexions réseau au niveau de la couche transport. Cette mesure améliore la sécurité et l'intégrité des données, mais augmente également la latence réseau.

Prérequis

• Vous avez créé une instance Hologres. Pour plus d'informations, consultez la rubrique Achat d'une instance Hologres.

• Vous avez téléchargé et installé un client PSQL ou JDBC. Pour plus d'informations, consultez les rubriques Client PSQL ou JDBC.

Notes d'utilisation

• Hologres V1.1 et versions ultérieures prennent en charge le chiffrement en transit. Hologres V1.2 et versions ultérieures prennent en charge TLS. Hologres V2.1 et versions ultérieures prennent en charge le chiffrement en transit via un certificat d'autorité de certification (CA) ; vous pouvez activer cette fonctionnalité depuis la console Hologres.

  Remarque

  Si votre instance est antérieure à la version V1.1, consultez la rubrique Dépannage : Erreurs de préparation de la mise à niveau ou rejoignez le groupe DingTalk Hologres pour obtenir de l'aide. Pour plus d'informations, consultez la rubrique Comment obtenir davantage d'assistance en ligne ?.

• L'activation ou la désactivation du chiffrement SSL en transit redémarre l'instance ; procédez avec prudence. Cette fonctionnalité est désactivée par défaut.

  • Une fois le chiffrement SSL activé pour une instance Hologres, les clients peuvent se connecter à l'instance via SSL. Vous devez configurer explicitement le client pour utiliser une connexion chiffrée ou non chiffrée.

  • Si vous désactivez le chiffrement SSL pour une instance Hologres, seules les connexions non SSL sont autorisées.

• Hologres prend en charge les modes SSL suivants pour le chiffrement en transit :

  Mode SSL	Version minimale prise en charge
  Require : chiffre uniquement le lien de données.	V1.1
  Verify-CA : chiffre le lien de données et utilise un certificat CA pour vérifier l'authenticité du serveur Hologres.	V2.1
  Verify-Full : chiffre le lien de données, utilise un certificat CA pour vérifier l'authenticité du serveur Hologres et vérifie que le CN ou le DNS du certificat correspond à l'adresse de connexion Hologres configurée pour la connexion.	V2.1

• Le certificat SSL est valide pendant un an. Renouvelez-le manuellement avant son expiration. À défaut, vous ne pourrez plus utiliser le chiffrement SSL pour vous connecter à l'instance.

• L'activation du chiffrement SSL en transit augmente la consommation du processeur et la latence en lecture/écriture.

• Après avoir activé le chiffrement SSL en transit, déconnectez puis reconnectez les connexions existantes pour que le chiffrement prenne effet.

• L'activation ou la désactivation du chiffrement SSL en transit, ainsi que le renouvellement du certificat SSL, redémarrent votre instance Hologres. L'opération dure environ 3 minutes. Effectuez ces opérations pendant les heures creuses.

Étape 1 : Activer le chiffrement en transit

1. Connectez-vous à la console Hologres et sélectionnez une région dans le coin supérieur gauche.

2. Dans le volet de navigation de gauche, cliquez sur Instances, puis cliquez sur l'ID de l'instance cible.

3. Sur la page des détails de l'instance, cliquez sur Data Security.

4. Sous l'onglet SSL, activez l'option SSL Encryption.

5. Dans la boîte de dialogue Enable SSL Encryption, cliquez sur Enable SSL Encryption.

Étape 2 : Télécharger le certificat CA

Hologres fournit un certificat CA pour votre instance. Utilisez ce certificat CA sur votre client distant pour vérifier l'authenticité de l'instance.

1. Connectez-vous à la console Hologres et sélectionnez une région dans le coin supérieur gauche.

2. Dans le volet de navigation de gauche, cliquez sur Instances, puis cliquez sur l'ID de l'instance cible.

3. Sur la page des détails de l'instance, cliquez sur Data Security.

4. Sous l'onglet SSL, cliquez sur Download Certificate.

Étape 3 : Se connecter à Hologres

Connectez-vous à Hologres à l'aide d'un client PSQL ou de JDBC. Lors de la connexion, configurez les paramètres pour activer ou non le chiffrement SSL en transit.

/Users/timothyding/Library/Java/JavaVirtualMachines/corretto-1.8.0_322/Contents/Home/bin/java ...
org.postgresql.util.PSQLException Create breakpoint : The server does not support SSL.
	at org.postgresql.core.v3.ConnectionFactoryImpl.enableSSL(ConnectionFactoryImpl.java:524)
	at org.postgresql.core.v3.ConnectionFactoryImpl.tryConnect(ConnectionFactoryImpl.java:149)
	at org.postgresql.core.v3.ConnectionFactoryImpl.openConnectionImpl(ConnectionFactoryImpl.java:213)
	at org.postgresql.core.ConnectionFactory.openConnection(ConnectionFactory.java:51)
	at org.postgresql.jdbc.PgConnection.<init>(PgConnection.java:225)
	at org.postgresql.Driver.makeConnection(Driver.java:465)
	at org.postgresql.Driver.connect(Driver.java:264)
	at java.sql.DriverManager.getConnection(DriverManager.java:664)
	at java.sql.DriverManager.getConnection(DriverManager.java:208)
	at rds_ssl_test.main(rds_ssl_test.java:34)

 // Set the endpoint of the Hologres instance.
 String hostname = "hgxxxxxxx-cn-hangzhou-vpc.hologres.aliyuncs.com:80";
 // Set the port of the Hologres instance.
 String port = "80";
 // Set the name of the database to connect to.
 String dbname = "postgres";
 String jdbcUrl = "jdbc:postgresql://" + hostname + ":" + port + "/" + dbname+"?binaryTransfer=true";
 Properties properties = new Properties();
 // Set the database username. Using an environment variable is recommended.
 properties.setProperty("user", "accessid");
 // Set the database password. Using an environment variable is recommended.
 properties.setProperty("password", "accesskey");
  // Configure the connection to use SSL.
  properties.setProperty("ssl", "true");
  // Specify the file path of the root certificate.
  properties.setProperty("sslrootcert", path + "/" + "hologres_certificate.crt");
  // Set the SSL mode. Valid values are require, verify-ca, and verify-full.
  properties.setProperty("sslmode", "verify-full");
  try {
      Class.forName("org.postgresql.Driver");
      Connection connection = DriverManager.getConnection(jdbcUrl, properties);
      // The following code queries the 'example' table, which is assumed to exist.
      PreparedStatement preparedStatement = connection.prepareStatement("select * from " +
              "example");
      ResultSet resultSet = preparedStatement.executeQuery();
      while (resultSet.next()) {
          ResultSetMetaData rsmd = resultSet.getMetaData();
          int columnCount = rsmd.getColumnCount();
          Map map = new HashMap();
          for (int i = 0; i < columnCount; i++) {
              map.put(rsmd.getColumnName(i + 1).toLowerCase(), resultSet.getObject(i + 1));
          }
          System.out.println(map);
      }
  } catch (Exception exception) {
      exception.printStackTrace();
  }