ApsaraDB RDS:Configurer la fonctionnalité de chiffrement SSL

Choisissez votre approche avant de commencer

Deux méthodes permettent d'utiliser SSL :

• Forcer SSL pour toutes les connexions : Une fois activée, toutes les connexions clientes à l'instance doivent être chiffrées, quel que soit le point de terminaison utilisé. Les connexions non chiffrées sont rejetées et aucun certificat CA n'est requis sur le client. Cette option nécessite une instance VPC.

• Chiffrer des connexions spécifiques (point de terminaison interne ou public) : SSL est activé sur un point de terminaison choisi. Les clients doivent présenter un certificat CA pour établir une connexion chiffrée.

  Remarque

  Transport Layer Security (TLS) est le successeur direct de SSL. Dans cette rubrique, SSL désigne à la fois TLS et SSL. RDS for SQL Server prend en charge TLS 1.0, TLS 1.1 et TLS 1.2.

Fonctionnement de SSL

Lorsqu'une connexion chiffrée est établie :

1. L'instance RDS envoie un certificat serveur (contenant la clé publique) au client.

2. Le client chiffre une clé symétrique à l'aide de cette clé publique.

3. L'instance RDS déchiffre la clé symétrique à l'aide de la clé privée.

4. Les deux parties utilisent la clé symétrique pour chiffrer et déchiffrer toutes les données suivantes.

En option, le client utilise le certificat CA pour vérifier le certificat serveur, confirmant ainsi l'identité de l'instance RDS et prévenant les attaques de type « man-in-the-middle ».

Prérequis

Les prérequis s'appliquent uniquement lors de l'utilisation d'un certificat personnalisé. Avant de commencer, assurez-vous que :

• Object Storage Service (OSS) est activé. Consultez Activer OSS.

• Le compte de service ApsaraDB RDS est autorisé à accéder à votre compartiment OSS via votre compte Alibaba Cloud.

• Votre certificat personnalisé est au format PFX et a été importé dans un compartiment OSS. Pour commencer, consultez Prise en main de la console OSS. Pour l'importation de fichiers volumineux, consultez Importation multipartie. Pour les importations via navigateur, consultez Opérations courantes.

Limites

• SSL n'est pas pris en charge pour les instances ApsaraDB RDS serverless. Consultez Instances ApsaraDB RDS for SQL Server serverless.

• SSL n'est pas pris en charge pour les connexions au point de terminaison de répartition lecture/écriture. Consultez Activer la répartition lecture/écriture en activant le point de terminaison de routage en lecture seule.

• Lorsque SSL est activé, les opérations suivantes ne sont pas disponibles : mise à niveau de la version majeure du moteur, mise à jour de la version mineure du moteur, création d'une instance temporaire exécutant une version majeure ultérieure du moteur et migration de l'instance entre zones. Consultez Mettre à jour la version mineure du moteur et Créer une instance temporaire exécutant la version requise de SQL Server.

Notes d'utilisation

• Validité du certificat : Un certificat SSL est valide pendant un an. Renouvelez-le avant son expiration, car les certificats expirés empêchent les applications et les clients d'établir des connexions chiffrées. Consultez Mettre à jour la période de validité d'un certificat.

• Redémarrages d'instance : L'activation de SSL, sa désactivation ou le renouvellement d'un certificat déclenche un redémarrage de l'instance. L'instance sera indisponible pendant quelques minutes. Effectuez ces opérations pendant les heures creuses.

• Surcharge CPU : Le chiffrement SSL peut augmenter considérablement l'utilisation du CPU. Activez SSL uniquement lorsque le chiffrement est requis, par exemple lors d'une connexion via un point de terminaison public.

Étape 1 : Activer SSL

1. Connectez-vous à la console ApsaraDB RDS et accédez à la page Instances. Sélectionnez la région, repérez l'instance et cliquez sur son ID.

2. Dans le volet de navigation de gauche, cliquez sur Data Security.

3. Sous l'onglet SSL, activez l'option Disabled.

4. Dans la boîte de dialogue Configure SSL, sélectionnez une méthode de chiffrement et configurez les paramètres.

Choisissez l'une des méthodes suivantes :

Étape 2 : Télécharger le certificat CA

Vous pouvez vous connecter à une instance RDS via SSL sans certificat CA, mais il est recommandé de le télécharger et de l'utiliser. Le certificat CA permet à votre client de vérifier le certificat serveur lors de la négociation SSL, confirmant ainsi l'identité de l'instance et prévenant les attaques de type « man-in-the-middle ».

1. Connectez-vous à la console ApsaraDB RDS et accédez à la page Instances. Sélectionnez la région, repérez l'instance et cliquez sur son ID.

2. Dans le volet de navigation de gauche, cliquez sur Data Security.

3. Sous l'onglet SSL, cliquez sur Download CA Certificate.

Le package téléchargé contient trois fichiers de certificat :

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

Étape 3 : Configurer SSL sur votre client

Après avoir activé SSL, configurez le certificat sur votre application ou client. Les étapes suivantes utilisent SQL Server Management Studio (SSMS) à titre d'exemple.

Annexe : Exemples de code pour les connexions SSL

Python

# -*- coding:utf-8 -*-

import ssl
import pyodbc

# Create an SSL context using the downloaded PEM certificate
context = ssl.create_default_context(purpose=ssl.Purpose.SERVER_AUTH, cafile="D:\ca\ApsaraDB-CA-Chain.pem")

# Connect to the RDS instance
# Replace the placeholders with your actual values:
#   SERVER   - RDS instance connection string
#   DATABASE - database name
#   UID      - username
#   PWD      - password
conn = pyodbc.connect('DRIVER={ODBC Driver 17 for SQL Server};SERVER=rm-2zec********.sqlserver.rds.aliyuncs.com;DATABASE=master;UID=zhttest;PWD=zht****;Encrypt=yes', ssl=context)
cursor = conn.cursor()
cursor.execute('SELECT @@version')

rows = cursor.fetchall()
for row in rows:
    print(row)

conn.close()

C#

using System;
using System.Data.SqlClient;

namespace SqlConnectionSSLExample
{
    class Program
    {
        static void Main(string[] args)
        {
            // Connect to the RDS instance with SSL encryption enabled
            // Replace the placeholders with your actual values:
            //   Data Source     - RDS instance connection string
            //   Initial Catalog - database name
            //   User ID         - username
            //   Password        - password
            string connectionString = "Data Source=rm-2ze********.sqlserver.rds.aliyuncs.com;Initial Catalog=master;User ID=zhttest;Password=zht****;Encrypt=true;";

            using (SqlConnection connection = new SqlConnection(connectionString))
            {
                connection.Open();
                try
                {
                    SqlCommand cmd = new SqlCommand("SELECT @@version", connection);
                    string result = cmd.ExecuteScalar().ToString();
                    Console.WriteLine(result);
                }
                catch (Exception ex)
                {
                    Console.WriteLine($"Error: {ex.Message}");
                }
            }
        }
    }
}

Étapes suivantes

SELECT session_id, encrypt_option
FROM sys.dm_exec_connections;
GO

Référence API

• DescribeDBInstanceSSL

• ModifyDBInstanceSSL

FAQ

Que se passe-t-il si je ne renouvelle pas un certificat SSL expiré ? Mon instance RDS tombe-t-elle en panne ou devient-elle moins sécurisée ?

L'instance RDS continue de fonctionner normalement : aucune erreur ne se produit et aucun risque de sécurité n'apparaît. Cependant, les applications et les clients ne peuvent pas établir de connexions chiffrées tant que le certificat n'est pas renouvelé.