ApsaraDB RDS:Aktifkan SSL dengan sertifikat cloud

Dampak

• Mengaktifkan atau menonaktifkan enkripsi SSL akan me-restart instans untuk semua versi, yang memicu alih bencana primary/secondary. Kami menyarankan agar Anda melakukan operasi ini selama jam sepi dan memastikan aplikasi Anda memiliki mekanisme penghubungan ulang otomatis. Untuk informasi lebih lanjut mengenai dampak alih bencana instans, lihat Dampak alih bencana.

• Saat Anda memperbarui sertifikat, instans yang menjalankan MySQL 5.6, 5.7, atau 8.4 akan direstart. Instans yang menjalankan MySQL 8.0 tidak direstart.

• Setelah Anda mengaktifkan enkripsi SSL, penggunaan koneksi terenkripsi secara signifikan meningkatkan pemanfaatan CPU. Kami menyarankan agar Anda hanya mengaktifkan enkripsi SSL ketika Anda memerlukan enkripsi untuk titik akhir publik. Titik akhir internal relatif aman dan biasanya tidak memerlukan enkripsi.

• Setelah Anda mengaktifkan enkripsi SSL paksa, hanya koneksi terenkripsi SSL dari client atau database proxy yang diizinkan. Koneksi tidak terenkripsi akan ditolak.

Versi TLS

Transport Layer Security (TLS) adalah protokol yang banyak digunakan untuk menjamin privasi dan integritas data dalam komunikasi internet. Protokol TLS memiliki beberapa versi. Tabel berikut menjelaskan versi TLS yang didukung oleh berbagai versi utama ApsaraDB RDS for MySQL.

Konfigurasi ssl_cipher default

ApsaraDB RDS for MySQL menggunakan OpenSSL untuk mengimplementasikan komunikasi TLS yang aman. Pada versi mesin minor 20230831 untuk MySQL 5.7 dan versi mesin minor 20230930 untuk MySQL 8.0, ApsaraDB RDS for MySQL ditingkatkan ke OpenSSL 3.0. Secara default, OpenSSL 3.0 tidak mendukung komunikasi menggunakan TLS 1.0 atau TLS 1.1. Untuk informasi lebih lanjut, lihat dokumentasi resmi OpenSSL.

Untuk kompatibilitas, ApsaraDB RDS for MySQL menyesuaikan nilai default parameter ssl_cipher menjadi "ALL:@SECLEVEL=0" untuk mengembalikan dukungan terhadap TLS 1.0 dan TLS 1.1.

Jika beban kerja Anda hanya menggunakan TLS 1.2 atau versi yang lebih baru, kami menyarankan agar Anda mengatur parameter ssl_cipher ke "" (string kosong) di konsol ApsaraDB RDS untuk mencapai tingkat keamanan yang lebih tinggi.

Langkah 1: Aktifkan enkripsi SSL

1. Buka halaman Instances. Di bilah navigasi atas, pilih wilayah tempat instans RDS berada. Lalu, temukan instans RDS dan klik ID instans tersebut.

2. Di panel navigasi kiri, klik Data Security.

3. Di tab SSL Encryption, klik sakelar di samping Disabled.

   Catatan

   Jika tab SSL tidak muncul, periksa apakah instans Anda memenuhi persyaratan di bagian Prasyarat.

4. Pada kotak dialog yang muncul, pilih titik akhir yang ingin Anda aktifkan enkripsi SSL-nya.

   Anda dapat mengenkripsi titik akhir internal atau titik akhir publik, tetapi hanya dapat memilih satu titik akhir.

5. (Opsional) Untuk mengaktifkan enkripsi SSL paksa, klik sakelar di samping Forceful Encryption.

   Penting

   • Untuk mengaktifkan enkripsi SSL paksa, instans harus menjalankan MySQL 8.4, atau MySQL 8.0 atau 5.7 dengan versi mesin minor 20241130 atau lebih baru.

   • Setelah Anda mengaktifkan enkripsi SSL paksa, hanya koneksi terenkripsi SSL dari client atau database proxy yang diizinkan. Koneksi tidak terenkripsi akan ditolak.

6. Klik OK untuk mengaktifkan enkripsi SSL.

   Proses ini membutuhkan waktu sekitar satu menit. Anda dapat merefresh halaman secara manual untuk melihat status instans.

Langkah 2: Unduh sertifikat CA

Setelah Anda mengaktifkan enkripsi SSL, Anda dapat mengunduh sertifikat CA untuk instans ApsaraDB RDS for MySQL. Client menggunakan sertifikat ini untuk memverifikasi keaslian instans RDS.

1. Buka halaman Instances. Di bilah navigasi atas, pilih wilayah tempat instans RDS berada. Lalu, temukan instans RDS dan klik ID instans tersebut.

2. Di panel navigasi kiri, klik Data Security. Di tab SSL, klik Download CA Certificate.

   File yang diunduh merupakan paket terkompresi yang berisi tiga file CA berikut:

   • File PEM: cocok untuk sebagian besar skenario.

   • File JKS: cocok untuk aplikasi Java. Kata sandinya adalah apsaradb. Sertifikat CA dalam format PEM biasanya harus diimpor ke truststore, artinya harus dikonversi ke file JKS sebelum dapat digunakan di Java.

   • File p7b: cocok untuk beberapa aplikasi Windows yang memerlukan file sertifikat PKCS #7.

Langkah 3: Terhubung dari client

Setelah Anda mengaktifkan enkripsi SSL, apakah koneksi client dienkripsi atau tidak bergantung pada jenis dan pengaturan client tersebut. Misalnya, beberapa client mungkin menggunakan koneksi terenkripsi secara default. Anda dapat mengubah pengaturan atau kode client untuk memastikan koneksi terenkripsi dibuat dan identitas instans ApsaraDB RDS for MySQL diverifikasi.

mysql -h {RDS_ENDPOINT} -u {RDS_ACCOUNT} -p --ssl-mode=PREFERRED

mysql -h {RDS_ENDPOINT} -u {RDS_ACCOUNT} -p --ssl-mode=VERIFY_CA --ssl-ca={CA_CERTIFICATE_PATH}/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.aliyun.sample;

import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.SQLException;

public class Sample {

    public static void main(String[] args) {

        Connection conn = null;
        MysqlDataSource mysqlDS=null;

        try{
            mysqlDS = new MysqlDataSource();
            // Atur sslMode sesuai kebutuhan. Untuk opsi, lihat bagian CLI.
            mysqlDS.setSslMode("VERIFY_IDENTITY");
          
            // Truststore menyimpan sertifikat CA. Contoh ini menggunakan format JKS.
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // Ganti path setelah file:/ dengan path ke file ApsaraDB-CA-Chain.jks Anda.
            mysqlDS.setTrustCertificateKeyStoreUrl("file:/D:\\ApsaraDB-CA-Chain\\ApsaraDB-CA-Chain.jks");
            // Kata sandi untuk file JKS yang diunduh adalah apsaradb dan tidak dapat diubah.
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
          
            // Titik akhir database Anda
            mysqlDS.setServerName("rm-xxxxxx.mysql.rds.aliyuncs.com");
            // Port database Anda
            mysqlDS.setPort(3306);
            // Akun database Anda
            mysqlDS.setUser("xxxxxx");
            // Kata sandi database Anda
            mysqlDS.setPassword("xxxxxx");
            // Nama database Anda
            mysqlDS.setDatabaseName("xxxxxx");

            conn = mysqlDS.getConnection();

        }catch(Exception e){
            e.printStackTrace();
        } finally {
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }

}

# Instal pymysql: pip install pymysql

import pymysql

try:
    # ca: Path ke file sertifikat CA. mode: Mode SSL yang digunakan.
    ssl_config = {"ca":"/path/to/path/ca.crt", "mode":"VERIFY_CA"}
    conn = pymysql.connect(host='******.mysql.rds.aliyuncs.com', user='*****', passwd='******', db='*****', ssl=ssl_config)
    cursor = conn.cursor()
    cursor.execute('select version()')
    data = cursor.fetchone()
    print('Versi database:', data[0])
    cursor.close()
except pymysql.Error as e:
    print(e)

FAQ

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

API Terkait

• Lihat konfigurasi SSL instans RDS

• Ubah konfigurasi SSL instans RDS