ApsaraDB RDS:SSL暗号化機能の設定

影響

• SSL暗号化機能を有効にするか、SSL暗号化機能を無効にするか、SSL証明書を更新すると、RDSインスタンスが再起動され、プライマリ /セカンダリの切り替えがトリガーされます。 オフピーク時に操作を実行することを推奨します。 RDSインスタンスに自動的に再接続するようにアプリケーションが設定されていることを確認します。 アプリケーションのコードを変更して、自動再接続を有効にすることができます。 MySQL 5.6またはMySQL 5.7を実行するRDSインスタンスのSSL証明書を更新すると、RDSインスタンスが再起動します。 MySQL 8.0を実行するRDSインスタンスのSSL証明書を更新しても、RDSインスタンスは再起動されません。 インスタンスの切り替えの影響の詳細については、「インスタンスの切り替えの影響」をご参照ください。

• SSL暗号化機能を有効にすると、暗号化された接続によりCPU使用率が大幅に増加します。 RDSインスタンスのパブリックエンドポイントへの接続を暗号化する必要がある場合にのみ、SSL暗号化機能を有効にすることを推奨します。

TLSバージョン

Transport Layer Security (TLS) は、インターネット通信のデータプライバシーとセキュリティを保証する、広く使用されているトランスポート層セキュリティプロトコルです。 複数のTLSバージョンが利用可能です。 ApsaraDB RDS for MySQLインスタンスでサポートされているTLSバージョンは、RDSインスタンスのメジャーエンジンバージョンによって異なります。

ssl_cipherの設定

ApsaraDB RDS for MySQLはOpenSSL for TLSを使用して安全な通信を提供します。 MySQL 5.7とMySQLのマイナーエンジンバージョンを実行するRDSインスタンス、MySQLのマイナーエンジンバージョンを実行するRDSインスタンス、および20230831のマイナーエンジンバージョンを実行するRDSインスタンスに対して、OpenSSL 3.0にアップグレードされ20230930。 デフォルトでは、OpenSSL 3.0はTLSv1.0およびTLSv1.1を介した通信をサポートしなくなりました。 詳細については、「OpenSSLドキュメント」をご参照ください。

ApsaraDB RDS for MySQLでデータの互換性を確保するため、ssl_cipherパラメーターの値を "ALL:@ SECLEVEL=0" に変更し、TLSv1.0およびTLSv1.1をサポートします。

ワークロードでTLSv1.2以降のみを使用する場合は、より高いセキュリティを確保するために、ApsaraDB RDSコンソールでssl_cipherパラメーターを空の文字列 ("") に設定することを推奨します。

手順1: RDSインスタンスのSSL暗号化機能の有効化

1. [インスタンス] ページに移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 次に、RDSインスタンスを見つけ、インスタンスのIDをクリックします。

2. 左側のナビゲーションウィンドウで、セキュリティコントロール をクリックします。

3. 表示されるページのSSLタブで、[無効] の右側にあるスイッチをオンにします。

   説明

   SSLタブが表示されない場合は、RDSインスタンスが前提条件のすべての要件を満たしているかどうかを確認する必要があります。

4. 表示されるダイアログボックスで、保護するエンドポイントを選択し、[OK] をクリックします。

   ビジネス要件に基づいて、内部またはパブリックエンドポイントへの接続を暗号化できます。 接続を暗号化できるのは、1つのエンドポイントのみです。

5. SSL暗号化機能を有効にするプロセスは、完了するまでに約1分かかります。 ページを更新して、機能のステータスを表示できます。

ステップ2: CA証明書のダウンロード

CA証明書を使用しない場合は、SSL暗号化機能を使用してRDSインスタンスへの接続を暗号化できます。 CA証明書をダウンロードして使用することを推奨します。 CA証明書を使用して、SSLハンドシェイク中に受信したサーバー証明書を確認できます。 これにより、RDSインスタンスのIDを確認し、man-in-the-middle攻撃を防ぐことができます。

1. [インスタンス] ページに移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 次に、RDSインスタンスを見つけ、インスタンスのIDをクリックします。

2. 左側のナビゲーションウィンドウで、セキュリティコントロール をクリックします。

3. 表示されるページのSSLタブで、[CA証明書のダウンロード] をクリックします。

   ダウンロードしたファイルは、次のファイルを含むパッケージです。

   • PEMファイル: ほとんどのシナリオに適しています。

   • JKSファイル: Javaアプリケーションに適しています。 ほとんどの場合、PEM形式のCA証明書ファイルは、JKSファイルに変換するためにトラストストアにインポートする必要があります。 JKSファイルはJavaアプリケーションで使用できます。 ファイルのパスワードはapsaradbです。

   • P7Bファイル: PKCS#7形式の証明書ファイルを必要とする少数のWindowsアプリケーションに適しています。

ステップ3: データベースクライアントからRDSインスタンスに接続する

SSL暗号化機能を有効にすると、クライアントのタイプと設定によって、クライアントとRDSインスタンス間の接続を暗号化するかどうかが決まります。 例えば、クライアントからRDSインスタンスへの接続は、デフォルトで暗号化することができる。 クライアントの設定またはコードを変更して、接続の暗号化を有効にし、RDSインスタンスのIDを確認できます。

mysql -h {RDSインスタンスのエンドポイント} -u {RDSインスタンスのアカウント} -p -- ssl-mode=PREFERRED

mysql -h {RDSインスタンスのエンドポイント} -u {RDSインスタンスのアカウント} -p -- ssl-mode=VERIFY_CA -- ssl-ca={CA証明書へのパス}/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency> 

パッケージcom.aliyun.sample;

com.mysql.cj.jdbc.MysqlDataSourceをインポートします。java.sql.Connectionをインポートします。java.sql.SQLExceptionをインポートします。public class Sample {

    public static void main(String[] args) {

        Connection conn = null;
        MysqlDataSource mysqlDS=null;

        try{
            mysqlDS=新しいMysqlDataSource();
            // ビジネス要件に基づいてsslModeプロパティを指定できます。 このプロパティのオプションの詳細については、このトピックの「コマンドラインツール」セクションの説明を参照してください。 
            mysqlDS.setSslMode("VERIFY_IDENTITY");
          
            // トラストストアは、CA証明書を格納するために使用されます。 この例では、トラストストアタイプはJKSに設定されています。 
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // ファイル: /の次のコンテンツをApsaraDB-CA-Chain.jksファイルへの実際のパスに置き換える必要があります。 
            mysqlDS.setTrustCertificateKeyStoreUrl("ファイル:/D :\\ ApsaraDB-CA-チェーン \\ApsaraDB-CA-Chain.jks");
            // ダウンロードしたJKSファイルのパスワードはapsaradbに固定されています。 
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
          
            // RDSインスタンスのエンドポイント。
            mysqlDS.setServerName("rm-xxxxxx.mysql.rds.aliyuncs.com");
            // RDSインスタンスのポート番号。
            mysqlDS.setPort(3306);
            // RDSインスタンスへの接続に使用されるアカウントのユーザー名。
            mysqlDS.setUser("xxxxxx");
            // RDSインスタンスへの接続に使用されるアカウントのパスワード。
            mysqlDS.setPassword("xxxxxx");
            // RDSインスタンスに接続するデータベースの名前。
            mysqlDS.setDatabaseName("xxxxxx");

            conn = mysqlDS.getConnection();

        } catch (例外e){
            e.printStackTrace();
        } 最後に{
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }

}

# pip install pymysqlコマンドを実行してPyMySQLをインストールします。


pymysqlのインポート

トライ:
    conn = pymysql.connect(host='****** .mysql.rds.aliyuncs.com' 、user='******' 、passwd='******' 、db='*****' 、ssl=True、
            ssl_ca='/path/to/path/ApsaraDB-CA-Chain.pem')
    cursor = conn.cursor()
    cursor.exeかわいい ('select version()')
    data = cursor.fetchone()
    print('Database version:', data[0])
    cursor.close()
eとしてpymysql.Errorを除いて:
    プリント (e) 

よくある質問

機能

• サーバーとクライアントのIDを検証する相互認証を実装するにはどうすればよいですか?

  ApsaraDB RDS for MySQLでは、SSLハンドシェイク中にクライアントIDを検証できません。 ホワイトリストとアカウント管理を使用して、アクセス制御を実装できます。

• 読み書き分離エンドポイントのSSL暗号化を設定するにはどうすればよいですか。

  詳細については、「データベースプロキシエンドポイントのSSL暗号化の設定」をご参照ください。

トラブルシューティング

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024 

関連する API 操作

• DescribeDBInstanceSSL

• ModifyDBInstanceSSL