PolarDB：Konfigurasikan enkripsi SSL

Langkah 1: Aktifkan enkripsi SSL

1. Login ke PolarDB console. Di pojok kiri atas, pilih wilayah tempat kluster ditempatkan. Di panel navigasi sebelah kiri, klik Clusters. Lalu, klik ID kluster tersebut.

2. Pada panel navigasi di sebelah kiri, pilih Settings and Management > Security.

3. Pada tab SSL Settings, klik slider di samping SSL Status untuk mengaktifkan enkripsi SSL.

   Catatan

   Anda dapat mengonfigurasi SSL untuk titik akhir utama, titik akhir kluster, dan titik akhir kustom.

4. Pada kotak dialog Configure SSL, pilih titik akhir yang ingin Anda aktifkan enkripsi SSL-nya, lalu klik OK.

   Catatan

   Anda dapat memilih untuk mengenkripsi titik akhir pribadi atau titik akhir publik sesuai kebutuhan. Namun, Anda hanya dapat mengenkripsi satu titik akhir dalam satu waktu.

   

Langkah 2: Unduh sertifikat

Setelah Anda mengaktifkan enkripsi SSL, Anda dapat mengunduh sertifikat kluster PolarDB. Sertifikat ini digunakan untuk memverifikasi keaslian database saat klien terhubung secara remote ke kluster PolarDB.

1. Pada tab SSL Settings, klik Download di bagian titik akhir yang sesuai.

   

2. File yang diunduh berupa paket terkompresi yang berisi tiga file berikut:

   • File .p7b: Digunakan untuk mengimpor sertifikat CA pada sistem operasi Windows.

   • File .pem: Digunakan untuk mengimpor sertifikat CA pada sistem operasi lain atau dalam aplikasi lain.

   • File .jks: File sertifikat truststore untuk Java. Kata sandinya adalah `apsaradb`. File ini digunakan untuk mengimpor rantai sertifikat CA ke dalam aplikasi Java.

     Catatan

     Jika Anda menggunakan file sertifikat JKS di Java, Anda harus memodifikasi konfigurasi keamanan JDK default untuk JDK 7 dan JDK 8. Pada server yang terhubung ke database PolarDB, ubah dua konfigurasi berikut dalam file jre/lib/security/java.security:

     jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
     jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

     Jika Anda tidak memodifikasi konfigurasi keamanan JDK, kesalahan berikut akan muncul. Kesalahan serupa lainnya biasanya juga disebabkan oleh konfigurasi keamanan Java yang salah.

     javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

Langkah 3: Terhubung ke kluster PolarDB dari client

Setelah Anda mengaktifkan enkripsi SSL, apakah koneksi antara klien dan kluster PolarDB menggunakan enkripsi SSL bergantung pada jenis dan pengaturan klien. Misalnya, beberapa klien mungkin menggunakan koneksi terenkripsi secara default. Anda dapat memodifikasi pengaturan atau kode klien untuk membuat koneksi terenkripsi dan memverifikasi identitas kluster PolarDB.

mysql -h {endpoint} -u {username} -p --ssl-mode=PREFERRED

mysql -h {endpoint} -u {username} -p --ssl-mode=VERIFY_CA --ssl-ca={path_to_CA_certificate}/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.example.ssltest;

import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

public class Main {
    public static void main(String[] args) {
       Connection conn = null;
        MysqlDataSource mysqlDS=null;

        try{
            mysqlDS = new MysqlDataSource();
            // Setel SslMode sesuai kebutuhan. Untuk informasi lebih lanjut tentang opsi properti ini, lihat metode koneksi command-line.
            mysqlDS.setSslMode("VERIFY_IDENTITY");
          
            // Truststore digunakan untuk menyimpan sertifikat CA. Atur tipe truststore ke JKS.
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // Ganti path setelah file:/ dengan path ke file ApsaraDB-CA-Chain.jks Anda.
            mysqlDS.setTrustCertificateKeyStoreUrl("file://{path_to_CA_certificate}/ApsaraDB-CA-Chain.jks");
            // Kata sandi untuk file JKS yang diunduh adalah apsaradb dan tidak dapat diubah.
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
          
            // Titik akhir database Anda
            mysqlDS.setServerName("your_polardb_host");
            // Port database Anda
            mysqlDS.setPort(3306);
            // Username database Anda
            mysqlDS.setUser("your_username");
            // Password database Anda
            mysqlDS.setPassword("your_password");
            // Nama database Anda
            mysqlDS.setDatabaseName("your_database");

            System.out.println("Mencoba terhubung ke database...");
            conn = mysqlDS.getConnection();
            System.out.println("Koneksi database berhasil!");
            
            // Gunakan try-with-resources untuk memastikan Statement dan ResultSet ditutup secara otomatis
            try (Statement stmt = conn.createStatement();
                 ResultSet rs = stmt.executeQuery("SELECT VERSION()")) {
                
                // Periksa apakah kueri mengembalikan hasil
                if (rs.next()) {
                    // Ambil hasil dari kolom pertama dan cetak
                    String dbVersion = rs.getString(1);
                    System.out.println("Versi database: " + dbVersion);
                } else {
                    System.out.println("Gagal mengambil informasi versi database.");
                }
            }

        }catch(Exception e){
            e.printStackTrace();
        } finally {
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

# Instal pymysql
# pip install pymysql

import pymysql

# --- Konfigurasikan informasi database Anda ---
db_config = {
    'host': 'your_polardb_host',          # Titik akhir kluster Anda
    'user': 'your_username',            # Username Anda
    'password': 'your_password',        # Password Anda
    'database': 'your_database',        # Database yang ingin Anda hubungkan
    'port': 3306
}

# --- Konfigurasikan informasi SSL ---
ssl_args = {
    'ca': '{path_to_CA_certificate}/ApsaraDB-CA-Chain.pem',
    'mode': 'VERIFY_CA'
}

try:
    # Buat koneksi dan teruskan parameter ssl
    print("Mencoba terhubung ke MySQL menggunakan SSL...")
    connection = pymysql.connect(**db_config, ssl=ssl_args)
    print("Koneksi SSL berhasil!")

    with connection.cursor() as cursor:
        # Jalankan kueri sederhana untuk memverifikasi koneksi
        cursor.execute("SELECT VERSION()")
        version = cursor.fetchone()
        print(f"Versi database: {version[0]}")

except pymysql.MySQLError as e:
    # Mencetak error terkait SSL bisa sangat membantu
    print(f"Koneksi gagal: {e}")
finally:
    if 'connection' in locals() and connection.open:
        connection.close()
        print("Koneksi database ditutup.")

Langkah 4: Verifikasi bahwa koneksi dienkripsi

Protokol SSL memiliki banyak versi. PolarDB saat ini mendukung TLSv1.2 dan versi yang lebih baru. Selama handshake SSL, klien dan server PolarDB melakukan negosiasi parameter koneksi, seperti versi TLS, paket sandi, dan kunci sesi. Untuk daftar lengkap paket sandi, lihat situs resmi OpenSSL.

1. Gunakan klien yang telah dikonfigurasi SSL untuk terhubung ke kluster PolarDB.

2. Jalankan kueri SQL berikut:

   SHOW STATUS LIKE 'ssl_cipher';
   
   +---------------+---------------------------+
   | Variable_name | Value                     |
   +---------------+---------------------------+
   | Ssl_cipher    | DHE-RSA-AES256-GCM-SHA384 |
   +---------------+---------------------------+

3. Analisis:

   • Jika kolom Value mengembalikan nilai yang tidak kosong (seperti DHE-RSA-AES256-GCM-SHA384), koneksi saat ini dienkripsi.

   • Jika kolom Value kosong, koneksi saat ini tidak dienkripsi. Periksa apakah konfigurasi klien sudah benar.

Modifikasi titik akhir yang dilindungi

Untuk memodifikasi titik akhir yang dilindungi SSL, klik Configure SSL di bagian titik akhir yang sesuai.

Perbarui periode validitas sertifikat

Jika Anda memodifikasi titik akhir SSL atau sertifikat akan segera kedaluwarsa, Anda harus memperbarui sertifikat secara manual. Bagian ini menjelaskan cara memperbarui sertifikat.

1. Pada tab SSL Settings, klik Update Validity Period.

   

2. Pada kotak dialog yang muncul, klik OK.

3. Setelah Anda memperbarui sertifikat, Anda harus mengunduh dan mengonfigurasi sertifikat baru.

Aktifkan rotasi sertifikat otomatis

Setelah Anda mengaktifkan rotasi sertifikat otomatis, PolarDB secara otomatis memperpanjang sertifikat dalam jendela pemeliharaan kluster pada 10 hari sebelum sertifikat kedaluwarsa.

1. Pada tab SSL Settings, klik Advanced Settings.

2. Pada kotak dialog Advanced Settings, aktifkan rotasi sertifikat otomatis dan klik Confirm.

Nonaktifkan enkripsi SSL

1. Pada tab SSL Settings, klik slider di samping SSL Status untuk menonaktifkan enkripsi SSL.

2. Pada kotak dialog yang muncul, klik OK.