ApsaraDB RDS:Konfigurasikan fitur enkripsi SSL

Prasyarat

Sebelum memulai, pastikan bahwa:

• Instans RDS Anda menjalankan salah satu versi dan edisi MySQL berikut untuk menggunakan SSL encryption:

  MySQL version	RDS High-availability Edition	RDS Cluster Edition	RDS Basic Edition
  8.0	Supported	Supported	Supported
  5.7	Supported	Supported	Supported
  5.6	Supported	—	—

• Instans RDS Anda memenuhi kedua persyaratan berikut untuk menggunakan forceful SSL encryption:

  • Menjalankan MySQL 8.4, 8.0, atau 5.7 pada Edisi Dasar, Edisi Ketersediaan Tinggi, atau Edisi Kluster

  • Menjalankan versi mesin minor 20241130 atau lebih baru

Periksa detail ini di halaman Basic Information instans RDS Anda. Jika instans Anda memenuhi persyaratan tetapi tab SSL tidak muncul, perbarui versi mesin minor. Untuk detailnya, lihat Upgrade the minor engine version. Jika Anda mengubah metode penagihan instans RDS non-serverless yang menjalankan Edisi Dasar menjadi serverless, Anda harus mengaktifkan ulang enkripsi SSL.

Dampak potensial

Perilaku restart dan switchover:

Lakukan operasi ini selama jam sepi, dan konfigurasikan aplikasi Anda agar terhubung ulang secara otomatis setelah restart.

CPU overhead: Koneksi yang dienkripsi SSL meningkatkan pemanfaatan CPU secara signifikan. Aktifkan SSL hanya untuk endpoint yang memerlukan enkripsi — biasanya endpoint publik.

Forceful SSL: Setelah mengaktifkan enkripsi SSL paksa, koneksi non-SSL dari klien dan proxy database akan ditolak.

Cara kerja

Saat Anda mengaktifkan enkripsi SSL, instans RDS menghasilkan sertifikat server, kunci publik, dan kunci privat.

Selama handshake SSL:

1. Instans RDS mengirimkan sertifikat server (termasuk kunci publik) ke klien.

2. Klien mengenkripsi kunci simetris menggunakan kunci publik yang diterima.

3. Instans RDS mendekripsi kunci simetris menggunakan kunci privatnya.

4. Kedua pihak menggunakan kunci simetris untuk mengenkripsi dan mendekripsi data.

Secara opsional, klien dapat memverifikasi sertifikat server terhadap sertifikat otoritas sertifikat (CA) untuk mengonfirmasi identitas server dan mencegah serangan man-in-the-middle.

Dukungan versi TLS

TLS 1.0 dan TLS 1.1 telah dinyatakan usang oleh Internet Engineering Task Force (IETF) pada tahun 2021. Gunakan TLSv1.2 atau versi yang lebih baru. Untuk detailnya, lihat RFC 8996.

Jenis sertifikat

Kedua jenis sertifikat melindungi satu endpoint dan memiliki tujuan yang sama: mengaktifkan enkripsi SSL dan memungkinkan klien mengotentikasi server.

Topik ini membahas sertifikat cloud. Untuk menggunakan sertifikat kustom, lihat Configure a custom certificate.

Langkah 1: Aktifkan enkripsi SSL

1. Buka halaman Instances. Di bilah navigasi atas, pilih wilayah tempat instans RDS Anda berada. Temukan instans tersebut dan klik ID-nya.

2. Di panel navigasi kiri, klik Data Security.

3. Di tab SSL, aktifkan sakelar di samping Disabled.

   Jika tab SSL tidak muncul, periksa apakah instans Anda memenuhi semua persyaratan yang tercantum di bagian Prasyarat.

4. Pada kotak dialog yang muncul, pilih endpoint yang akan dilindungi — baik endpoint internal maupun publik — lalu klik OK. Hanya satu endpoint yang dapat dilindungi dalam satu waktu.

5. (Opsional) Aktifkan Forceful Encryption.

   Penting

   Enkripsi SSL paksa memerlukan MySQL 8.4, 8.0, atau 5.7 dan versi mesin minor 20241130 atau lebih baru. Setelah mengaktifkan enkripsi SSL paksa, hanya koneksi yang dienkripsi SSL yang diterima. Koneksi non-SSL dari klien dan proxy database akan ditolak.

6. Tunggu sekitar 1 menit hingga proses selesai. Muat ulang halaman untuk mengonfirmasi fitur telah diaktifkan.

   Catatan

   Enkripsi SSL untuk instans hanya baca bersifat independen dari instans utama. Mengaktifkan enkripsi SSL pada instans utama tidak secara otomatis mengaktifkannya pada instans hanya baca terkait. Untuk mengaktifkan enkripsi SSL pada instans hanya baca, buka halaman detail instans hanya baca tersebut, klik Data Security > SSL, lalu aktifkan enkripsi SSL secara manual.

Langkah 2: Unduh sertifikat CA

1. Buka halaman Instances, temukan instans Anda, lalu klik ID-nya.

2. Di panel navigasi kiri, klik Data Security. Di tab SSL, klik Download CA Certificate.

Paket yang diunduh berisi tiga file:

Langkah 3: Terhubung menggunakan SSL

Setelah mengaktifkan enkripsi SSL, konfigurasikan klien Anda untuk terhubung melalui koneksi terenkripsi. Mode SSL yang tersedia adalah:

mysql -h <endpoint> -u <username> -p --ssl-mode=PREFERRED

mysql -h <endpoint> -u <username> -p \
  --ssl-mode=VERIFY_CA \
  --ssl-ca=<path-to-certificate>/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.aliyun.sample;

import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.SQLException;

public class Sample {

    public static void main(String[] args) {

        Connection conn = null;
        MysqlDataSource mysqlDS = null;

        try {
            mysqlDS = new MysqlDataSource();

            // Setel mode SSL. Opsi: DISABLED, PREFERRED, REQUIRED, VERIFY_CA, VERIFY_IDENTITY.
            mysqlDS.setSslMode("VERIFY_IDENTITY");

            // Truststore menyimpan sertifikat CA. Contoh ini menggunakan format JKS.
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // Ganti dengan path aktual ke ApsaraDB-CA-Chain.jks di sistem Anda.
            mysqlDS.setTrustCertificateKeyStoreUrl("file:/D:\\ApsaraDB-CA-Chain\\ApsaraDB-CA-Chain.jks");
            // Kata sandi file JKS selalu apsaradb.
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");

            // Ganti nilai berikut dengan detail instans RDS Anda yang sebenarnya.
            mysqlDS.setServerName("rm-xxxxxx.mysql.rds.aliyuncs.com"); // Endpoint RDS
            mysqlDS.setPort(3306);
            mysqlDS.setUser("xxxxxx");          // Username akun database
            mysqlDS.setPassword("xxxxxx");      // Password akun database
            mysqlDS.setDatabaseName("xxxxxx");  // Nama database

            conn = mysqlDS.getConnection();

        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            try {
                if (conn != null) conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

# Instal PyMySQL: pip install pymysql

import pymysql

try:
    ssl_config = {
        "ca": "/path/to/ApsaraDB-CA-Chain.pem",  # Path ke sertifikat CA
        "mode": "VERIFY_CA"                        # Mode SSL
    }
    conn = pymysql.connect(
        host="******.mysql.rds.aliyuncs.com",
        user="*****",
        passwd="******",
        db="*****",
        ssl=ssl_config
    )
    cursor = conn.cursor()
    cursor.execute("SELECT VERSION()")
    data = cursor.fetchone()
    print("Versi database:", data[0])
    cursor.close()
except pymysql.Error as e:
    print(e)

Operasi tambahan

-- Periksa paket sandi yang digunakan oleh sesi saat ini.
-- Hasil yang tidak kosong mengonfirmasi koneksi dienkripsi.
SHOW STATUS LIKE 'Ssl_cipher';

-- Periksa versi TLS yang digunakan oleh sesi saat ini.
SHOW STATUS LIKE 'Ssl_version';

ALTER USER 'testuser'@'%' REQUIRE SSL;

openssl x509 -in <path-to-certificate>/ApsaraDB-CA-Chain.pem -text

FAQ

Apakah saya dapat mengonfigurasi autentikasi timbal balik yang memverifikasi identitas server dan klien?

ApsaraDB RDS for MySQL tidak mendukung verifikasi identitas klien selama handshake SSL. Gunakan daftar putih dan manajemen akun untuk mengontrol akses.

Bagaimana cara mengonfigurasi enkripsi SSL untuk endpoint pemisahan baca/tulis?

Lihat Mengonfigurasi enkripsi SSL untuk titik akhir proxy database.

Aplikasi Java: `javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints`

Galat ini terjadi dengan pengaturan keamanan JDK 7 atau JDK 8 default. Di file jre/lib/security/java.security pada host aplikasi Anda, atur:

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

Aplikasi Java: `javax.net.ssl.SSLHandshakeException: No appropriate protocol (protocol is disabled or cipher suites are inappropriate)`

MySQL Connector/J 8.0.18 dan versi sebelumnya menonaktifkan TLSv1.2 saat terhubung ke instans MySQL 5.6 atau 5.7. Perbaiki masalah ini dengan salah satu opsi berikut:

• Tingkatkan MySQL Connector/J ke versi 8.0.19 atau lebih baru

• Tingkatkan instans RDS ke MySQL 8.0

• Tentukan versi TLS secara eksplisit dengan mengatur enabledTLSProtocols atau tlsVersions ke TLSv1.2 dalam konfigurasi koneksi Anda

Referensi API

• DescribeDBInstanceSSL

• ModifyDBInstanceSSL