ApsaraDB RDS:SSL暗号化機能の設定

前提条件

暗号化にカスタムキーを使用する前に、次の要件が満たされていることを確認してください。

• Object Storage Service (OSS) が有効化されています。 詳細については、「OSSの有効化」をご参照ください。

• ApsaraDB RDSのサービスアカウントは、Alibaba Cloudアカウントを使用してOSSバケットにアクセスすることで承認されます。

• カスタム証明書はPFX形式で、OSSバケットにアップロードされます。 詳細については、「OSSコンソールを使用して開始する」、「マルチパートアップロード」、および「ossbrowserを使用する」をご参照ください。

使用上の注意

• RDSインスタンスの読み書き分離エンドポイントへの接続では、SSL暗号化機能はサポートされていません。 詳細については、「読み取り専用ルーティングエンドポイントを有効にして読み書き分離を有効にする」をご参照ください。

• SSL証明書は1年間有効です。 使用済みSSL証明書の有効期限が切れる前に、SSL証明書の有効期間を更新する必要があります。 SSL証明書の有効期間を更新しないと、暗号化されたネットワーク接続を使用するアプリケーションまたはクライアントはRDSインスタンスに接続できません。 SSL証明書の有効期間を更新する方法の詳細については、「SSL証明書の有効期間の更新」をご参照ください。

• SSL暗号化機能を有効または無効にするか、RDSインスタンスのSSL証明書を更新すると、RDSインスタンスが再起動します。 再起動中、RDSインスタンスは数分間使用できません。

• SSL暗号化は、CPU利用率の大幅な増加を引き起こし得る。 RDSインスタンスのパブリックエンドポイントへの接続を暗号化する必要がある場合にのみ、SSL暗号化機能を有効にすることを推奨します。

ステップ1: RDSインスタンスのSSL暗号化機能を有効にする

1. [インスタンス] ページへ移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 次に、RDSインスタンスを見つけ、インスタンスのIDをクリックします。

2. 左側のナビゲーションウィンドウで、セキュリティコントロール をクリックします。

3. SSL タブで、無効 をオンにします。

4. SSL の設定 ダイアログボックスで、暗号化方法を選択し、設定を行います。

   Alibaba Cloudによって自動的に生成されたキーの使用

   

   パラメーター	必須	説明
   保護されたエンドポイントを選択します：	可	SSL暗号化機能を有効にするエンドポイントを選択します。 ビジネス要件に基づいて、RDSインスタンスの内部エンドポイントまたはパブリックエンドポイントに確立された接続を暗号化できます。 両方のタイプの接続を暗号化することはできません。 説明 RDSインスタンスのパブリックエンドポイントへの接続を暗号化する場合は、パブリックエンドポイントが適用されていることを確認する必要があります。 詳細については、「パブリックエンドポイントの申請またはリリース」をご参照ください。
   強制暗号化を有効にするかどうか	任意	強制的なSSL暗号化をサポートするかどうかを指定します。 強制的なSSL暗号化は、RDSインスタンスの内部エンドポイントに確立された接続でのみサポートされます。 Forceful Encryptionを有効にすると、暗号化されていない接続はサポートされません。 説明 Forceful Encryptionは、仮想プライベートクラウド (VPC) に存在するRDSインスタンスに対してのみ有効にできます。 詳細については、「ネットワークタイプの変更」をご参照ください。 RDSインスタンスのパブリックエンドポイントに対して確立されている接続では、強制的なSSL暗号化はサポートされていません。 RDSインスタンスの内部エンドポイントとパブリックエンドポイントに確立された接続が存在する場合、RDSインスタンスの内部エンドポイントに確立された接続に対してForceful Encryptionを有効にする場合は、まずパブリックエンドポイントをリリースする必要があります。 詳細については、「パブリックエンドポイントの申請またはリリース」をご参照ください。
   サポートされている最小 TLS バージョンがサポートされています	任意	サポートされているTLSの最小バージョンを選択します。 有効な値: 1.0、1.1、1.2 たとえば、このパラメーターを1.1に設定した場合、サーバーはTLS 1.1およびTLS 1.2プロトコルを介した接続のみを受け入れます。

   カスタムキーの暗号化

   説明

   暗号化にカスタムキーを使用する前に、前提条件に記載されている要件が満たされていることを確認してください。

   1. [PFX形式の証明書をOSSにアップロード] ステップで、[次のステップ] をクリックします。

   2. [カスタムキー暗号化の使用] ステップで、必要なパラメーターを設定し、[次のステップ] をクリックします。 下表に、各パラメーターを説明します。

      

      パラメーター	説明
      OSSバケット	証明書が存在するOSSバケットを選択します。
      証明書	必要なPFX証明書を選択します。
      Password	証明書のパスワードを入力します。

   3. [一般オプションの設定] ステップで、次のパラメーターを設定します。

      

      パラメーター	必須	説明
      保護されたエンドポイントを選択します：	可	SSL暗号化機能を有効にするエンドポイントを選択します。 ビジネス要件に基づいて、RDSインスタンスの内部エンドポイントまたはパブリックエンドポイントに確立された接続を暗号化できます。 両方のタイプの接続を暗号化することはできません。 説明 RDSインスタンスのパブリックエンドポイントへの接続を暗号化する場合は、パブリックエンドポイントが適用されていることを確認する必要があります。 詳細については、「パブリックエンドポイントの申請またはリリース」をご参照ください。
      強制暗号化を有効にするかどうか	任意	強制的なSSL暗号化をサポートするかどうかを指定します。 強制的なSSL暗号化は、RDSインスタンスの内部エンドポイントに確立された接続でのみサポートされます。 Forceful Encryptionを有効にすると、暗号化されていない接続はサポートされません。 説明 Forceful Encryptionは、仮想プライベートクラウド (VPC) に存在するRDSインスタンスに対してのみ有効にできます。 詳細については、「ネットワークタイプの変更」をご参照ください。 RDSインスタンスのパブリックエンドポイントに対して確立されている接続では、強制的なSSL暗号化はサポートされていません。 RDSインスタンスの内部エンドポイントとパブリックエンドポイントに確立された接続が存在する場合、RDSインスタンスの内部エンドポイントに確立された接続に対してForceful Encryptionを有効にする場合は、まずパブリックエンドポイントをリリースする必要があります。 詳細については、「パブリックエンドポイントの申請またはリリース」をご参照ください。
      サポートされている最小 TLS バージョンがサポートされています	任意	サポートされているTLSの最小バージョンを選択します。 有効な値: 1.0、1.1、1.2 たとえば、このパラメーターを1.1に設定した場合、サーバーはTLS 1.1およびTLS 1.2プロトコルを介した接続のみを受け入れます。

5. [OK] をクリックします。

   SSL暗号化機能を有効にするのに約1分かかります。 ページを更新して、RDSインスタンスのステータスを表示できます。

手順2: SSL証明書のダウンロード

SSL暗号化機能を使用して、CA証明書なしでRDSインスタンスに接続できます。 CA証明書をダウンロードして使用することを推奨します。 CA証明書を使用して、SSLハンドシェイク中に受信したサーバー証明書を確認できます。 これにより、RDSインスタンスのIDを確認し、man-in-the-middle攻撃を防ぐことができます。

1. [インスタンス] ページへ移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 次に、RDSインスタンスを見つけ、インスタンスのIDをクリックします。

2. 左側のナビゲーションウィンドウで、セキュリティコントロール をクリックします。

3. SSLタブで、CA 証明書のダウンロード をクリックします。

   ダウンロードしたファイルは、次のファイルを含むパッケージです。

   • P7Bファイル: Windowsオペレーティングシステムで使用されるSSL証明書ファイル。

   • PEMファイル: Windows以外のオペレーティングシステムまたはWindowsで実行されていないアプリケーションで使用されるSSL証明書ファイル。

   • JKSファイル: Javaでサポートされているトラストストアに保存されているSSL証明書ファイル。 このファイルを使用して、SSL証明書チェーンからJavaベースのアプリケーションにSSL証明書ファイルをインポートできます。 デフォルトのパスワードはapsaradbです。

   重要

   JDK 7またはJDK 8でJKSファイルを使用する場合は、アプリケーションが存在するホストのjre/lib/security/Java.securityファイルにある次のデフォルトのJDKセキュリティ設定項目を変更する必要があります。

   jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
   jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024 

   これらの設定を変更しないと、次のエラーが報告されます。 ほとんどの場合、他の同様のエラーも無効なJavaセキュリティ設定によって発生します。

   javax.net.ssl.SSLHandshakeException: DHPublicKeyはアルゴリズム制約に準拠していません

ステップ3: SSL証明書の設定

SSL暗号化機能を有効にした後、アプリケーションまたはクライアントでSSL証明書を設定する必要があります。 このトピックでは、SQL Server Management Studio (SSMS) を使用してSSL証明書をインストールする方法の例を示します。 他のアプリケーションやクライアントを使用する場合は、関連する手順を参照してください。

1. デスクトップの左下隅の検索ボックスにcertmgr.mscと入力し、certmgr.mscを開きます。

2. [certmgr] ダイアログボックスで、[Trusted Root Certification Authorities] を右クリックします。

3. [すべてのタスク] > [インポート] を選択します。

4. [次へ] をクリックします。

5. [証明書のインポートウィザード] ダイアログボックスで、[参照] をクリックしてダウンロードしたSSL証明書をインポートし、[次へ] をクリックします。 SSL証明書のダウンロード方法の詳細については、「手順2: SSL証明書のダウンロード」をご参照ください。

6. ビジネス要件に基づいてSSL証明書を保存するディレクトリを選択し、[次へ] をクリックします。

7. [完了] をクリックし、証明書がインポートされるまで待ちます。

8. SSMSを開き、ダイアログボックスの右下隅にある [オプション] をクリックします。

   

9. [接続のプロパティ] タブで、[接続の暗号化] と [サーバー証明書の信頼] を選択し、[接続] をクリックします。

   

10. 次のステートメントを実行します。 TRUEが返された場合、接続は暗号化されます。

    SELECT ENCRYPT_OPTION FROM SYS.DM_EXEC_CONNECTIONS WHERE SESSION_ID = @ @ SPID

付録: SSLを介した接続のサンプルコード

# -*-コーディング: utf-8 -*-

インポートssl
pyodbcをインポートする

# PythonでSSL接続を確立するためのSSLコンテキストを作成します。
context = ssl.create_default_context(purpose=ssl.Purpose.SERVER_AUTH, cafile="D:\ca\ApsaraDB-CA-Chain.pem")

# 接続を確立します。
# SERVERは、必要なデータベースが存在するサーバーのIPアドレスを指定します。 DATABASEは、接続するデータベースの名前を指定します。 UIDは、データベースにログオンするために必要なユーザー名を指定します。 PWDは、データベースにログオンするために必要なパスワードを指定します。 Encryptは、SSL暗号化を有効にするかどうかを指定します。 yesの値は、SSL暗号化が有効であることを示します。 
conn = pyodbc.connect('DRIVER={SQL ServerのODBCドライバー17};SERVER=rm-2zec ********** .sqlserver.rds.aliyuncs.com;DATABASE=master;UID=zhttest;PWD=zht ****; 暗号化=yes、ssl=コンテキスト)
cursor = conn.cursor()
cursor.exeかわいい ('SELECT @ @ version ')

rows = cursor.fetchall()

行の行の場合:
    プリント (行)

# 接続を閉じます。
conn.close() 

;
System.Data.SqlClientを使用する。名前空間SqlConnectionSSLCample
{
    class Program
    {
        static void Main(string[] args)
        {
            // 接続を確立します。
            // データソースは、必要なSQL serverデータベースが存在するサーバーのIPアドレスを指定します。 初期カタログには、接続する必要なデータベースの名前を指定します。 ユーザーIDは、データベースに接続するために必要なユーザー名を指定します。 Passwordは、データベースに接続するために必要なパスワードを指定します。 Encryptは、SSL暗号化送信を有効にするかどうかを指定します。 trueの値は、SSL暗号化が有効になっていることを示します。 
            string connectionString = "データソース=rm-2ze ********* .sqlserver.rds.aliyuncs.com; 初期カタログ=master; ユーザーID=zhttest; パスワード=zht ****; 暗号化=true;";
            using (SqlConnection connection = new SqlConnection(connectionString))
            {
                // 接続を開きます。
                接続オープン ();
                try
                {
                    // SQL文を実行します。
                    SqlCommand cmd=新しいSqlCommand("SELECT @ @ version" 、接続);

                    string result = cmd.ExecuteScalar().ToString();

                    Console.WriteLine (結果);
                }
                catch (Exception ex)
                {
                    Console.WriteLine($"エラー: {ex.Message}");
                }
            }
        }
    }
}

関連操作

• DescribeDBInstanceSSL

• ModifyDBInstanceSSL

次のステップ

SELECT session_id,encrypt_option
sys.dm_exec_connectionsから。GO 

よくある質問

期限切れのSSL証明書を更新しないと、ビジネスにどのような影響がありますか? RDSインスタンスでエラーが発生したか、データセキュリティが低下しましたか。

期限切れのSSL証明書を更新しない場合でも、RDSインスタンスは期待どおりに実行され、セキュリティリスクは発生しません。 ただし、アプリケーションはRDSインスタンスへの暗号化接続を確立できません。