SSL 暗号化の設定 - E-MapReduce - Alibaba Cloud ドキュメントセンター

リンクのセキュリティを強化するために、Secure Sockets Layer (SSL) 暗号化を有効にし、必要なアプリケーションサービスに SSL CA 証明書をインストールできます。SSL は、トランスポートレイヤーでネットワーク接続を暗号化し、エンドポイント認証とデータ暗号化を提供することで、クライアントと StarRocks インスタンス間の通信データが不正なユーザーによって読み取られるのを防ぎ、データのセキュリティと整合性を向上させます。

前提条件

インスタンスが作成されている必要があります。詳細については、「インスタンスの作成」をご参照ください。

制限事項

バージョン 3.3.8-1.94-1.7.12 以降のインスタンスのみが SSL 暗号化機能をサポートします。

SSL 暗号化の有効化

重要

SSL 暗号化を有効にすると、クライアントと StarRocks 間の接続は SSL を使用して暗号化する必要があります。SSL 暗号化証明書が設定されていない既存のクライアントは接続に失敗します。続行する前に関連設定を確認してください。
インスタンスの FE ノードはローリングリスタートされます。この期間中、インポートおよびクエリタスクが短時間中断される可能性があります。この操作はオフピーク時に実行し、タスクをモニターするようにしてください。

[インスタンス詳細] タブに移動します。
1. E-MapReduce コンソールにログインします。
2. 左側のナビゲーションウィンドウで、[EMR Serverless] > [StarRocks] を選択します。
3. 管理するインスタンスの名前をクリックします。
[インスタンス詳細] ページで、[セキュリティ設定] セクションの [SSL 暗号化] の横にある [有効化] をクリックします。

[SSL 暗号化の有効化] ダイアログボックスで、[確認] をクリックしてデフォルトの証明書を使用します。

証明書をカスタマイズするには、[カスタム暗号化ファイル] スイッチをオンにして、次のパラメーターを設定します。

パラメーター	説明
証明書ファイルのアップロード	[ファイルのアップロード] をクリックし、PKCS#12 フォーマットの証明書ファイル (.p12 拡張子) を選択してアップロードします。この証明書ファイルには、公開鍵、秘密鍵、および場合によっては証明書チェーンが含まれています。説明本番環境では、認証局によって発行された証明書を使用することをお勧めします。
暗号化ファイルアクセスパスワード	アップロードされた証明書ファイルのアクセスパスワード (証明書ファイルを暗号化するために使用されたパスワード) を入力します。このパスワードは安全に保管し、証明書を使用する必要があるときに提供されるようにしてください。
キーアクセスパスワード	秘密鍵にアクセスするためのパスワードを入力します。秘密鍵の生成時にパスワードが設定された場合は、システムが SSL ID 検証とキー交換のために秘密鍵に正しくアクセスして使用できるように、ここでそのパスワードを提供する必要があります。

(オプション) SSL 暗号化の構成を表示します。

[パラメーター設定] タブをクリックします。

左側の [FE] をクリックして、次の SSL 認証情報を表示します。

パラメーター	説明
`ssl_keystore_location`	SSL 証明書とキーを含むキーストアファイルへのパス。
`ssl_keystore_password`	キーストアファイルのアクセスパスワード。StarRocks は、キーストアファイルを読み取る際にこのパスワードを提供する必要があります。
`ssl_key_password`	キーのアクセスパスワード。StarRocks は、キーストアファイルからキーを読み取る際にこのパスワードを提供する必要があります。

SSL 暗号化証明書のダウンロード

[インスタンス詳細] タブに移動します。
1. E-MapReduce コンソールにログインします。
2. 左側のナビゲーションウィンドウで、[EMR Serverless] > [StarRocks] を選択します。
3. 管理するインスタンスの名前をクリックします。
[インスタンス詳細] ページで、[セキュリティ設定] セクションの [認証証明書] の横にある [ダウンロード] をクリックします。
証明書をコンピューターにダウンロードした後、Web アプリケーションサーバに証明書をインストールして、HTTPS 暗号化通信を実装できます。
説明
不可視文字のため、ダウンロードされた証明書は Base64 でエンコードされています。使用する前に、証明書をデコードする必要があります。デコードされた証明書は、HTTPS 暗号化通信を設定するために直接使用できます。機密情報の漏洩を避けるために、デコードされたファイルを適切に保管してください。

クライアントでの SSL 認証の有効化

このトピックでは、次のクライアントで SSL 認証を有効にする方法について説明します:

MySQL クライアント
MySQL クライアントの場合、StarRocks は MySQL プロトコルと互換性があり、デフォルトで SSL 認証を有効にするため、追加の構成は必要ありません。StarRocks インスタンスへの接続の詳細については、「MySQL クライアントを使用して StarRocks インスタンスに接続する」をご参照ください。
JDBC クライアント
SSL を有効にするには、JDBC URL に次のオプションを追加します。StarRocks インスタンスへの接続の詳細については、「JDBC を使用して StarRocks インスタンスに接続する」をご参照ください。
```
useSSL=true&verifyServerCertificate=false
```
パラメーターの説明:
- useSSL=true: SSL 暗号化を有効にします。
- verifyServerCertificate=false: サーバー証明書の検証を無効にします (開発環境またはテスト環境に適しています)。
  説明
  本番環境では、verifyServerCertificate=true を設定し、信頼できる CA 証明書を提供することをお勧めします。

SSL 暗号化の無効化

重要

SSL 暗号化を無効にすると、クライアントと StarRocks 間の接続は SSL を使用して暗号化されなくなります。この場合、クライアントが正常にアクセスできるように、クライアント接続の認証方式を完了する必要があります。続行する前に確認してください。
インスタンスの FE ノードはローリングリスタートされます。この期間中、インポートおよびクエリタスクが短時間中断される可能性があります。この操作はオフピーク時に実行し、タスクをモニターするようにしてください。

[インスタンス詳細] ページで、[セキュリティ設定] セクションの [SSL 暗号化] の横にある [無効化] をクリックします。
[SSL 暗号化の無効化] ダイアログボックスで、[確認] をクリックします。