ApsaraDB RDS：Konfigurasikan fitur enkripsi SSL

Dampak

• Jika Anda mengaktifkan, menonaktifkan, atau memperbarui sertifikat SSL, instans RDS akan melakukan restart dan memicu switchover primary/secondary. Kami menyarankan Anda melakukan operasi ini selama jam sepi. Pastikan aplikasi Anda dikonfigurasi untuk terhubung ulang secara otomatis ke instans RDS. Anda dapat memodifikasi kode aplikasi agar mendukung koneksi ulang otomatis. Jika Anda memperbarui sertifikat SSL untuk instans RDS yang menjalankan MySQL 5.6 atau MySQL 5.7, instans RDS akan restart. Namun, jika Anda memperbarui sertifikat SSL untuk instans RDS yang menjalankan MySQL 8.0, instans RDS tidak akan restart. Untuk informasi lebih lanjut tentang dampak switchover instans, lihat Impacts of an instance switchover.

• Setelah Anda mengaktifkan enkripsi SSL untuk instans RDS, koneksi terenkripsi akan meningkatkan penggunaan CPU secara signifikan. Kami menyarankan Anda hanya mengaktifkan fitur ini jika perlu mengenkripsi koneksi ke public endpoint instans RDS.

• Setelah Anda mengaktifkan fitur forceful SSL encryption untuk instans RDS, Anda hanya dapat menghubungkan klien atau database proxy ke instans RDS melalui koneksi terenkripsi SSL. Koneksi non-SSL akan ditolak.

Versi TLS

Transport Layer Security (TLS) adalah protokol keamanan lapisan transport yang banyak digunakan untuk menjamin privasi dan keamanan data dalam komunikasi Internet. Tersedia beberapa versi TLS. Versi TLS yang didukung oleh instans ApsaraDB RDS for MySQL bervariasi tergantung pada major engine version instans tersebut.

Konfigurasi ssl_cipher

ApsaraDB RDS for MySQL menggunakan OpenSSL untuk TLS guna menyediakan komunikasi aman. OpenSSL ditingkatkan ke OpenSSL 3.0 untuk instans RDS yang menjalankan MySQL 5.7 dengan minor engine version 20230831 dan instans RDS yang menjalankan MySQL 8.0 dengan minor engine version 20230930. Secara default, OpenSSL 3.0 tidak lagi mendukung komunikasi melalui TLSv1.0 dan TLSv1.1. Untuk informasi selengkapnya, lihat dokumentasi OpenSSL.

Untuk menjamin kompatibilitas data di ApsaraDB RDS for MySQL, nilai parameter ssl_cipher diubah menjadi "ALL:@SECLEVEL=0" agar mendukung TLSv1.0 dan TLSv1.1.

Jika beban kerja Anda hanya menggunakan TLSv1.2 atau versi yang lebih baru, kami menyarankan Anda mengatur parameter ssl_cipher menjadi string kosong ("") di konsol ApsaraDB RDS untuk menjamin keamanan yang lebih tinggi.

Langkah 1: Aktifkan fitur enkripsi SSL untuk instans RDS

1. Buka halaman Instances. Di bilah navigasi atas, pilih wilayah tempat instans RDS berada. Lalu, temukan instans RDS tersebut dan klik ID-nya.

2. Di panel navigasi sebelah kiri, klik Data Security.

3. Pada tab SSL di halaman yang muncul, aktifkan sakelar di sebelah kiri Disabled.

   Catatan

   Jika tab SSL tidak muncul, pastikan instans RDS memenuhi semua persyaratan di bagian Prasyarat.

4. Pada kotak dialog yang muncul, pilih titik akhir yang ingin Anda lindungi lalu klik OK.

   Anda dapat mengenkripsi koneksi ke internal endpoint atau public endpoint sesuai kebutuhan bisnis. Anda hanya dapat mengenkripsi koneksi ke satu titik akhir.

5. Opsional. Aktifkan Forceful Encryption untuk mengaktifkan fitur forceful SSL encryption.

   Penting

   • Fitur forceful SSL encryption hanya dapat diaktifkan jika instans RDS Anda menjalankan MySQL 5.7 atau MySQL 8.0 dengan minor engine version 20241130 atau lebih baru.

   • Setelah Anda mengaktifkan fitur forceful SSL encryption untuk instans RDS, Anda hanya dapat menghubungkan klien atau database proxy ke instans RDS melalui koneksi terenkripsi SSL. Koneksi non-SSL akan ditolak.

6. Tunggu sekitar 1 menit hingga proses pengaktifan fitur enkripsi SSL selesai. Anda dapat menyegarkan halaman untuk melihat status fitur tersebut.

Langkah 2: Unduh CA certificate

Setelah Anda mengonfigurasi sertifikat cloud, instans RDS menyediakan CA certificate server yang dapat Anda unduh. Saat menghubungkan ke instans RDS dari klien, Anda dapat menggunakan CA certificate tersebut untuk mengautentikasi instans RDS.

1. Buka halaman Instances. Di bilah navigasi atas, pilih wilayah tempat instans RDS berada. Lalu, temukan instans RDS tersebut dan klik ID-nya.

2. Di panel navigasi sebelah kiri halaman yang muncul, klik Data Security. Pada tab SSL, klik Download CA Certificate.

   File yang Anda unduh merupakan paket yang berisi file-file berikut:

   • File PEM: cocok untuk sebagian besar skenario.

   • File JKS: cocok untuk aplikasi Java. Kata sandi file ini adalah apsaradb. Umumnya, file CA certificate berformat PEM harus diimpor ke truststore untuk dikonversi menjadi file JKS. Anda dapat menggunakan file JKS ini di aplikasi Java. Kata sandi file ini adalah apsaradb.

   • File P7B: cocok untuk sejumlah kecil aplikasi Windows yang memerlukan file sertifikat berformat PKCS#7.

Langkah 3: Hubungkan ke instans RDS dari client database

Setelah Anda mengaktifkan fitur enkripsi SSL, tipe dan pengaturan klien menentukan apakah koneksi antara klien dan instans RDS dienkripsi. Misalnya, koneksi dari klien ke instans RDS mungkin sudah dienkripsi secara default. Anda dapat memodifikasi pengaturan atau kode klien untuk mengaktifkan enkripsi koneksi dan memverifikasi identitas instans RDS.

mysql -h {Endpoint of the RDS instance} -u {Account of the RDS instance} -p --ssl-mode=PREFERRED

mysql -h {Endpoint of the RDS instance} -u {Account of the RDS instance} -p --ssl-mode=VERIFY_CA --ssl-ca={Path to the CA certificate}/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.aliyun.sample;

import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.SQLException;

public class Sample {

    public static void main(String[] args) {

        Connection conn = null;
        MysqlDataSource mysqlDS=null;

        try{
            mysqlDS = new MysqlDataSource();
            //Anda dapat menentukan properti sslMode sesuai kebutuhan bisnis. Untuk informasi selengkapnya tentang opsi properti ini, lihat deskripsi di bagian "CLI" topik ini. 
            mysqlDS.setSslMode("VERIFY_IDENTITY");
          
            //Truststore digunakan untuk menyimpan CA certificate. Pada contoh ini, tipe truststore diatur ke JKS. 
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            //Anda harus mengganti konten setelah file:/ dengan path aktual ke file ApsaraDB-CA-Chain.jks Anda. 
            mysqlDS.setTrustCertificateKeyStoreUrl("file:/D:\\ApsaraDB-CA-Chain\\ApsaraDB-CA-Chain.jks");
            //Kata sandi file JKS yang diunduh bersifat tetap, yaitu apsaradb. 
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
          
            //Endpoint instans RDS Anda.
            mysqlDS.setServerName("rm-xxxxxx.mysql.rds.aliyuncs.com");
            //Nomor port instans RDS Anda.
            mysqlDS.setPort(3306);
            //Username akun yang digunakan untuk menghubungkan ke instans RDS Anda.
            mysqlDS.setUser("xxxxxx");
            //Password akun yang digunakan untuk menghubungkan ke instans RDS Anda.
            mysqlDS.setPassword("xxxxxx");
            //Nama database yang ingin Anda hubungkan pada instans RDS Anda.
            mysqlDS.setDatabaseName("xxxxxx");

            conn = mysqlDS.getConnection();

        }catch(Exception e){
            e.printStackTrace();
        } finally {
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }

}

# Jalankan perintah pip install pymysql untuk menginstal PyMySQL.

import pymysql

try:
    ssl_config = {"ca":"/path/to/path/ca.crt", "mode":"VERIFY_CA"}   # Anda harus mengatur ca ke path sertifikat dan mode ke mode SSL yang digunakan.
    conn = pymysql.connect(host='******.mysql.rds.aliyuncs.com', user='*****', passwd='******', db='*****', ssl=ssl_config)
    cursor = conn.cursor()
    cursor.execute('select version()')
    data = cursor.fetchone()
    print('Versi database:', data[0])
    cursor.close()
except pymysql.Error as e:
    print(e)

FAQ

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

Operasi terkait

• DescribeDBInstanceSSL

• ModifyDBInstanceSSL