Lindorm:MySQL プロトコルの SSL 暗号化ガイド

前提条件

Lindorm ワイドテーブルエンジンが有効化されていること。

操作手順

1. Lindorm コンソールにログインします。

2. ページの左上隅で、インスタンスがデプロイされているリージョンを選択します。

3. インスタンス一覧 ページで、目的のインスタンスの ID をクリックするか、操作 列の 管理 をクリックします。

4. インスタンス詳細ページの左側メニューで、LindormTable > データセキュリティ をクリックします。

5. データリンク SSL セクションで、ステータス: エリアのサービスを有効にします。

6. SSL 暗号化サービスが有効になるまで待ちます。ページに次の情報が表示されたら、SSL 暗号化サービスは有効になっています。

   • ステータス:：[有効]

   • SSL 証明書有効期限：：ページに表示される証明書の有効期限。例： 2036-06-13 18:02:25

   • SSL 証明書有効性:：[有効]

   • CA 証明書のダウンロード ボタンが表示されます。

暗号化リンクのみ

クライアントとサーバー間のリンクを暗号化で保護するだけでよい場合は、sslMode=REQUIRED を使用します。このモードでは、クライアントが追加の CA ルート証明書を設定することなく TLS 暗号化が有効になります。

• MySQL コマンドの例

  mysql --ssl-mode=REQUIRED \
    -h <host> \
    -P 33060 \
    -u <user> \
    -p \
    -D <database> \
    --get-server-public-key

  詳細な使用法については、「MySQL クライアントを使用した LindormTable への接続と使用」をご参照ください。

• JDBC の例

  String url = "jdbc:mysql://<host>:33060/<database>"
      + "?sslMode=REQUIRED"
      + "&allowPublicKeyRetrieval=true";
  Connection connection = DriverManager.getConnection(url, user, password);

  詳細な使用法については、「Java JDBC インターフェースを使用したアプリケーション開発」をご参照ください。

厳密な証明書チェーンの検証

クライアントが、サーバー証明書が信頼できる CA によって発行されたことを確認する必要がある場合は、sslMode=VERIFY_CA を使用し、コンソールからダウンロードした CA 証明書を --ssl-ca で指定します。

mysql --ssl-mode=VERIFY_CA \
  --ssl-ca=/path/to/Lindorm-CA.crt \
  -h <host> \
  -P 33060 \
  -u <user> \
  -p \
  -D <database> \
  --get-server-public-key

クエリ例：

mysql --ssl-mode=VERIFY_CA \
  --ssl-ca=/path/to/Lindorm-CA.crt \
  -h <host> -P 33060 -u <user> -p -D <database> \
  --get-server-public-key \
  -e "SELECT 1 AS ok"

ok = 1 が返された場合、クライアントは CA 証明書に基づいて SSL ハンドシェイクとクエリを完了したことになります。

VERIFY_IDENTITY モードの説明

VERIFY_IDENTITY は VERIFY_CA をベースに、さらに接続ホスト名がサーバー証明書で宣言されている SAN/CN と一致することを検証します。したがって、このモードを使用するには、クライアントが接続するホストが、証明書で宣言されているドメイン名または IP アドレスと完全に一致する必要があります。

トラストストアの生成

keytool -importcert \
  -alias lindorm-ca \
  -file /path/to/Lindorm-CA.crt \
  -keystore /path/to/lindorm-ca.p12 \
  -storetype PKCS12 \
  -storepass changeit \
  -noprompt

JDBC URL

String url = "jdbc:mysql://<host>:33060/<database>"
    + "?sslMode=VERIFY_CA"
    + "&allowPublicKeyRetrieval=true"
    + "&trustCertificateKeyStoreUrl=file:/path/to/lindorm-ca.p12"
    + "&trustCertificateKeyStorePassword=changeit"
    + "&trustCertificateKeyStoreType=PKCS12";
Connection connection = DriverManager.getConnection(url, user, password);

注： trustCertificateKeyStoreUrl には、サーバー証明書のパスではなく、トラストストアのファイルパスを指定します。コンソールからダウンロードした CA 証明書を PKCS12 または JKS 形式のトラストストアにインポートしてから、JDBC に渡してください。