ApsaraDB RDS:Konfigurasikan fitur enkripsi SSL

Pilih pendekatan Anda sebelum memulai

Terdapat dua cara untuk menggunakan SSL:

• Paksa SSL untuk semua koneksi: Saat diaktifkan, semua koneksi klien ke instans harus dienkripsi, terlepas dari titik akhir yang digunakan. Koneksi tanpa enkripsi akan ditolak, dan tidak diperlukan sertifikat CA di sisi klien. Memerlukan instans VPC.

• Enkripsi koneksi tertentu (titik akhir internal atau publik): SSL diaktifkan pada titik akhir yang dipilih. Klien harus menyajikan sertifikat CA untuk membuat koneksi terenkripsi.

  Catatan

  Transport Layer Security (TLS) adalah penerus langsung dari SSL. Dalam topik ini, SSL mengacu pada TLS maupun SSL. RDS for SQL Server mendukung TLS 1.0, TLS 1.1, dan TLS 1.2.

Cara kerja SSL

Saat koneksi terenkripsi dibuat:

1. Instans RDS mengirimkan server certificate (berisi kunci publik) ke klien.

2. Klien mengenkripsi kunci simetris menggunakan kunci publik tersebut.

3. Instans RDS mendekripsi kunci simetris menggunakan kunci privat.

4. Kedua sisi menggunakan kunci simetris tersebut untuk mengenkripsi dan mendekripsi semua data selanjutnya.

Secara opsional, klien menggunakan sertifikat CA untuk memverifikasi server certificate — memastikan identitas instans RDS dan mencegah serangan man-in-the-middle.

Prasyarat

Prasyarat hanya berlaku saat menggunakan sertifikat kustom. Sebelum memulai, pastikan:

• Layanan Object Storage Service (OSS) telah diaktifkan. Lihat Aktifkan OSS.

• Akun layanan ApsaraDB RDS telah diberi otorisasi untuk mengakses Bucket OSS Anda melalui Akun Alibaba Cloud Anda.

• Sertifikat kustom Anda dalam format PFX dan telah diunggah ke Bucket OSS. Untuk memulai, lihat Memulai dengan konsol OSS. Untuk mengunggah file besar, lihat Multipart upload. Untuk unggahan berbasis browser, lihat Operasi umum.

Batasan

• SSL tidak didukung untuk instans ApsaraDB RDS arsitektur tanpa server. Lihat Instans ApsaraDB RDS for SQL Server arsitektur tanpa server.

• SSL tidak didukung untuk koneksi ke titik akhir pemisahan baca/tulis. Lihat Aktifkan pemisahan baca/tulis dengan mengaktifkan titik akhir routing read-only.

• Saat SSL diaktifkan, operasi berikut tidak tersedia: peningkatan versi mesin utama, pembaruan versi mesin minor, pembuatan instans temporary yang menjalankan versi mesin utama yang lebih baru, dan migrasi instans lintas zona. Lihat Perbarui versi mesin minor dan Buat instans temporary yang menjalankan versi SQL Server yang diperlukan.

Catatan penggunaan

• Masa berlaku sertifikat: Sertifikat SSL berlaku selama satu tahun. Perpanjang sebelum kedaluwarsa — sertifikat yang kedaluwarsa mencegah aplikasi dan klien membuat koneksi terenkripsi. Lihat Perbarui periode validitas sertifikat.

• Restart instans: Mengaktifkan SSL, menonaktifkan SSL, atau memperbarui sertifikat memicu restart instans. Instans tidak tersedia selama beberapa menit. Lakukan operasi ini pada jam sepi.

• Beban CPU: Enkripsi SSL dapat meningkatkan pemanfaatan CPU secara signifikan. Aktifkan SSL hanya jika enkripsi diperlukan — misalnya, saat terhubung melalui titik akhir publik.

Langkah 1: Aktifkan SSL

1. Login ke Konsol ApsaraDB RDS dan buka halaman Instances. Pilih wilayah, temukan instans, lalu klik ID instans.

2. Di panel navigasi kiri, klik Data Security.

3. Di tab SSL, aktifkan Disabled.

4. Pada kotak dialog Configure SSL, pilih metode enkripsi dan konfigurasikan parameter.

Pilih salah satu metode berikut:

Langkah 2: Unduh sertifikat CA

Anda dapat terhubung ke instans RDS melalui SSL tanpa sertifikat CA, tetapi sangat disarankan untuk mengunduh dan menggunakannya. Sertifikat CA memungkinkan klien Anda memverifikasi server certificate selama handshake SSL — memastikan identitas instans dan mencegah serangan man-in-the-middle.

1. Login ke Konsol ApsaraDB RDS dan buka halaman Instances. Pilih wilayah, temukan instans, lalu klik ID instans.

2. Di panel navigasi kiri, klik Data Security.

3. Di tab SSL, klik Download CA Certificate.

Paket yang diunduh berisi tiga file sertifikat:

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

Langkah 3: Konfigurasikan SSL pada client Anda

Setelah mengaktifkan SSL, konfigurasikan sertifikat pada aplikasi atau klien Anda. Langkah-langkah berikut menggunakan SQL Server Management Studio (SSMS) sebagai contoh.

Lampiran: Contoh kode untuk koneksi SSL

Python

# -*- coding:utf-8 -*-

import ssl
import pyodbc

# Buat konteks SSL menggunakan sertifikat PEM yang diunduh
context = ssl.create_default_context(purpose=ssl.Purpose.SERVER_AUTH, cafile="D:\ca\ApsaraDB-CA-Chain.pem")

# Terhubung ke instans RDS
# Ganti placeholder dengan nilai aktual Anda:
#   SERVER   - string koneksi instans RDS
#   DATABASE - nama database
#   UID      - username
#   PWD      - password
conn = pyodbc.connect('DRIVER={ODBC Driver 17 for SQL Server};SERVER=rm-2zec********.sqlserver.rds.aliyuncs.com;DATABASE=master;UID=zhttest;PWD=zht****;Encrypt=yes', ssl=context)
cursor = conn.cursor()
cursor.execute('SELECT @@version')

rows = cursor.fetchall()
for row in rows:
    print(row)

conn.close()

C#

using System;
using System.Data.SqlClient;

namespace SqlConnectionSSLExample
{
    class Program
    {
        static void Main(string[] args)
        {
            // Terhubung ke instans RDS dengan enkripsi SSL diaktifkan
            // Ganti placeholder dengan nilai aktual Anda:
            //   Data Source     - string koneksi instans RDS
            //   Initial Catalog - nama database
            //   User ID         - username
            //   Password        - password
            string connectionString = "Data Source=rm-2ze********.sqlserver.rds.aliyuncs.com;Initial Catalog=master;User ID=zhttest;Password=zht****;Encrypt=true;";

            using (SqlConnection connection = new SqlConnection(connectionString))
            {
                connection.Open();
                try
                {
                    SqlCommand cmd = new SqlCommand("SELECT @@version", connection);
                    string result = cmd.ExecuteScalar().ToString();
                    Console.WriteLine(result);
                }
                catch (Exception ex)
                {
                    Console.WriteLine($"Error: {ex.Message}");
                }
            }
        }
    }
}

Langkah selanjutnya

SELECT session_id, encrypt_option
FROM sys.dm_exec_connections;
GO

Referensi API

• DescribeDBInstanceSSL

• ModifyDBInstanceSSL

FAQ

Apa yang terjadi jika saya tidak memperbarui sertifikat SSL yang kedaluwarsa? Apakah instans RDS saya gagal atau menjadi kurang aman?

Instans RDS tetap berjalan normal — tidak terjadi error dan tidak muncul risiko keamanan. Namun, aplikasi dan klien tidak dapat membuat koneksi terenkripsi hingga sertifikat diperbarui.