PolarDB:Configurer le chiffrement SSL

Étape 1 : Activer le chiffrement SSL

1. Connectez-vous à la console PolarDB. Dans le volet de navigation de gauche, cliquez sur Clusters. Sélectionnez la région où se trouve votre cluster, puis cliquez sur l'ID du cluster.

2. Dans le volet de navigation de gauche, choisissez Settings and Management > Security.

3. Sous l'onglet SSL Settings, activez le commutateur SSL Status pour activer le chiffrement SSL.

   Remarque

   Vous pouvez configurer SSL pour les points de terminaison principaux, de cluster et personnalisés.

4. Dans la boîte de dialogue Configure SSL, sélectionnez le point de terminaison à chiffrer, puis cliquez sur OK.

Étape 2 : Télécharger le certificat

Après avoir activé le chiffrement SSL, téléchargez le certificat du cluster PolarDB pour vérifier l'authenticité de la base de données lorsqu'un client se connecte à distance au cluster PolarDB.

1. Sous l'onglet SSL Settings, cliquez sur Download dans la section correspondant au point de terminaison souhaité.

2. Le fichier téléchargé est une archive compressée contenant les trois fichiers suivants :

   • Fichier .p7b : Pour importer le certificat CA sous Windows.

   • Fichier .pem : Pour importer le certificat CA sous d'autres systèmes ou applications.

   • Fichier .jks : Fichier de magasin de confiance Java, avec le mot de passe apsaradb, pour importer la chaîne de certificats CA dans les applications Java.

     Remarque

     Lors de l'utilisation du fichier de certificat JKS dans Java, vous devez modifier la configuration de sécurité par défaut pour JDK 7 et JDK 8. Sur le serveur qui se connecte à la base de données PolarDB, modifiez le fichier jre/lib/security/java.security et ajustez les deux paramètres suivants :

     jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
     jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

     Si vous ne modifiez pas les paramètres de sécurité JDK, une erreur similaire à la suivante peut se produire. Cette erreur et d'autres erreurs connexes sont généralement causées par des paramètres de sécurité Java incorrects.

     javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

Étape 3 : Se connecter à PolarDB depuis un client

Après avoir activé le chiffrement SSL, le fait qu'une connexion entre un client et le cluster PolarDB soit chiffrée dépend du type et des paramètres du client. Par exemple, certains clients peuvent utiliser des connexions chiffrées par défaut. Modifiez les paramètres ou le code du client pour établir une connexion chiffrée et vérifier l'identité du cluster PolarDB.

mysql -h {endpoint} -u {username} -p --ssl-mode=PREFERRED

mysql -h {endpoint} -u {username} -p --ssl-mode=VERIFY_CA --ssl-ca={CA certificate path}/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.example.ssltest;
import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
public class Main {
    public static void main(String[] args) {
       Connection conn = null;
        MysqlDataSource mysqlDS=null;
        try{
            mysqlDS = new MysqlDataSource();
            // Set SslMode as needed. For options, see the command-line connection instructions.
            mysqlDS.setSslMode("VERIFY_IDENTITY");
            // The truststore contains the CA certificate. Set the truststore type to JKS.
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // Replace the path after file:/ with the path to your ApsaraDB-CA-Chain.jks file.
            mysqlDS.setTrustCertificateKeyStoreUrl("file://{CA certificate path}/ApsaraDB-CA-Chain.jks");
            // The password for the downloaded JKS file is apsaradb and cannot be changed.
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
            // Your database endpoint
            mysqlDS.setServerName("your_polardb_host");
            // Your database port
            mysqlDS.setPort(3306);
            // Your database username
            mysqlDS.setUser("your_username");
            // Your database password
            mysqlDS.setPassword("your_password");
            // Your database name
            mysqlDS.setDatabaseName("your_database");
            System.out.println("Attempting to connect to the database...");
            conn = mysqlDS.getConnection();
            System.out.println("Database connection successful!");
            // Use try-with-resources to ensure Statement and ResultSet are automatically closed.
            try (Statement stmt = conn.createStatement();
                 ResultSet rs = stmt.executeQuery("SELECT VERSION()")) {
                // Check if the query returned a result.
                if (rs.next()) {
                    // Get the result from the first column and print it.
                    String dbVersion = rs.getString(1);
                    System.out.println("Database version: " + dbVersion);
                } else {
                    System.out.println("Failed to retrieve database version information.");
                }
            }
        }catch(Exception e){
            e.printStackTrace();
        } finally {
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

# Install pymysql
# pip install pymysql
import pymysql
# --- Configure your database information ---
db_config = {
    'host': 'your_polardb_host',          # Your cluster endpoint
    'user': 'your_username',            # Your username
    'password': 'your_password',        # Your password
    'database': 'your_database',        # The database you want to connect to
    'port': 3306
}
# --- Configure SSL information ---
ssl_args = {
    'ca': '{CA certificate path}/ApsaraDB-CA-Chain.pem',
    'mode': 'VERIFY_CA'
}
try:
    # Establish a connection, passing ssl parameters
    print("Attempting to connect to MySQL with SSL...")
    connection = pymysql.connect(**db_config, ssl=ssl_args)
    print("SSL connection successful!")
    with connection.cursor() as cursor:
        # Execute a simple query to verify the connection
        cursor.execute("SELECT VERSION()")
        version = cursor.fetchone()
        print(f"Database version: {version[0]}")
except pymysql.MySQLError as e:
    # Printing SSL-related errors can be helpful for troubleshooting
    print(f"Connection failed: {e}")
finally:
    if 'connection' in locals() and connection.open:
        connection.close()
        print("Database connection closed.")

Étape 4 : Vérifier la connexion chiffrée

Le protocole SSL existe en plusieurs versions. PolarDB prend actuellement en charge TLSv1.2 et les versions ultérieures. Lors de la négociation SSL, le client et le serveur PolarDB négocient les paramètres de connexion, y compris la version TLS, la suite de chiffrement et la clé de session. Pour obtenir la liste détaillée des suites de chiffrement, visitez le site officiel d'OpenSSL.

1. Connectez-vous au cluster PolarDB à l'aide d'un client configuré pour SSL.

2. Exécutez la requête SQL suivante :

   SHOW STATUS LIKE 'ssl_cipher';
   +---------------+---------------------------+
   | Variable_name | Value                     |
   +---------------+---------------------------+
   | Ssl_cipher    | DHE-RSA-AES256-GCM-SHA384 |
   +---------------+---------------------------+

3. Analysez le résultat :

   • Si la colonne Value renvoie une valeur non vide, telle que DHE-RSA-AES256-GCM-SHA384, la connexion actuelle est chiffrée.

   • Si la colonne Value est vide, la connexion actuelle n'est pas chiffrée. Vérifiez la configuration de votre client.

Modifier le point de terminaison protégé

Pour changer le point de terminaison protégé par SSL, cliquez sur Configure SSL dans la section correspondant à ce point de terminaison.

Mettre à jour la période de validité du certificat

Si vous modifiez le point de terminaison SSL ou si le certificat est sur le point d'expirer, vous devez mettre à jour manuellement la période de validité du certificat.

1. Sous l'onglet SSL Settings, cliquez sur Update Validity Period.

2. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.

3. Une fois la période de validité mise à jour, téléchargez et configurez le nouveau certificat.

Activer la rotation automatique des certificats

Si vous activez la rotation automatique des certificats, PolarDB renouvelle automatiquement le certificat pendant la fenêtre de maintenance du cluster, dans les 10 jours précédant son expiration.

1. Sous l'onglet SSL Settings, cliquez sur Advanced Settings.

2. Dans la boîte de dialogue Advanced Settings, activez la rotation automatique des certificats et cliquez sur Confirm.

Désactiver le chiffrement SSL

1. Sous l'onglet SSL Settings, désactivez le commutateur SSL Status pour désactiver le chiffrement SSL.

2. Dans la boîte de dialogue qui s'affiche, cliquez sur OK.