PostgreSQL 用クライアント CA 証明書による SSL 相互認証の有効化 - PolarDB - Alibaba Cloud - PolarDB

クラウド証明書またはカスタム証明書を使用して SSL 暗号化を有効にすると、クライアントはデータベースの信頼性を検証します。データベースもクライアントの信頼性を検証する必要がある場合は、クライアント CA 証明書を設定する必要があります。このトピックでは、そのプロセスについて説明します。

注意事項

クライアント CA 証明書を設定した後、変更を有効にするには、既存の接続を再確立する必要があります。
クライアント CA 証明書の設定、クライアント証明書失効リスト (CRL) ファイルの設定、クライアント CA 証明書の無効化、クライアント証明書失効リスト (CRL) ファイルの無効化などの操作を行うと、短時間の接続中断が発生します。これらの操作は、オフピーク時に実行することを推奨します。

ステップ 1：クライアント証明書の取得

次の例では CentOS を使用します。openssl コマンドは Windows でも同じです。

自己署名証明書 (ca1.crt) とその秘密鍵 (ca1.key) を生成します。

openssl req -new -x509 -days 3650 -nodes -out ca1.crt -keyout ca1.key -subj "/CN=root-ca1"

クライアント証明書署名要求ファイル (client.csr) とクライアントの秘密鍵 (client.key) を生成します。
```
openssl req -new -nodes -text -out client.csr -keyout client.key -subj "/CN=<client_username>"
```
説明
このコマンドでは、-subj パラメーターの CN 値をクライアントのデータベースユーザー名に設定します。

クライアント証明書 (client.crt) を生成します。

openssl x509 -req -in client.csr -text -days 365  -CA ca1.crt -CAkey ca1.key -CAcreateserial  -out client.crt

ls コマンドを実行して、生成されたファイルを表示します：

# ls
ca1.crt  ca1.key  ca1.srl  client.crt  client.csr  client.key

主要なファイル：

client.crt：クライアント証明書。
client.key：クライアントの秘密鍵。
ca1.crt：自己署名ルート CA 証明書。
ca1.key：自己署名ルート CA 証明書の秘密鍵。

ステップ 2：クライアント CA 証明書の設定

説明

クライアント CA 証明書を設定した後、クラスターのステータスが [SSL 変更中] に変わります。ステータスが 実行中 になるまで待ってから、次の手順に進んでください。クライアント CA 証明書を更新するには、これらの手順に従ってください。

PolarDB コンソールにログインします。
ページの左上隅で、クラスターが所在するリージョンを選択します。
対象のクラスターを見つけ、クラスター ID をクリックします。
左側のナビゲーションウィンドウで、構成・ amp; の管理 > Security Management をクリックします。
SSL Configuration タブで、設定するプライマリエンドポイントまたはクラスターエンドポイントの横にある クライアント CA 証明書の設定 ボタンをクリックします。
クライアント CA 証明書の設定 ダイアログボックスで、ステータス を有効に設定し、自己署名証明書ファイル (ca1.crt) の内容を貼り付けて、[OK] をクリックします。

説明
自己署名証明書ファイル (ca1.crt) の取得方法については、「ステップ 1：クライアント証明書の取得」をご参照ください。

ステップ 3：データベースへの接続

およびデータベースは、SSL 経由でのリモート接続をサポートしています。詳細については、をご参照ください。

ステップ 4：(任意) CRL ファイルの設定

特定のクライアント証明書を使用しなくなった場合は、その証明書を失効させることができます。これにより、データベースはその証明書を使用するクライアントからの接続を拒否します。

説明

クライアント証明書失効リスト (CRL) ファイルを設定した後、クラスターのステータスが [SSL 変更中] に変わります。ステータスが 実行中 になるまで待ってから、次の手順に進んでください。CRL ファイルを更新するには、これらの手順に従ってください。

設定ファイルを準備します。
```
touch /etc/pki/CA/index.txt
echo 1000 > /etc/pki/CA/crlnumber
```
説明
Windows を使用する場合は、次の手順に従ってください：
1. OpenSSL のインストールディレクトリの \bin ディレクトリに CA フォルダを作成します。
2. CA フォルダに index.txt ファイルを作成します。
3. 次のコマンドを実行します：
```
echo 1000 > <OpenSSL installation directory>\bin\CA\crlnumber
```
4. C:\Program Files\Common Files\SSL\ ディレクトリにある openssl.cnf ファイルを修正します。
```
# [ CA_default ] セクションを見つけます。
dir = "<OpenSSL installation directory>\\bin\\CA"
```
クライアント証明書 (client.crt) を失効させます。
```
openssl ca -revoke client.crt -cert ca1.crt -keyfile ca1.key
```
説明
このコマンドには、自己署名証明書 (ca1.crt) とその秘密鍵 (ca1.key) が必要です。詳細については、「ステップ 1：クライアント証明書の取得」をご参照ください。
クライアント証明書失効リスト (CRL) ファイル (client.crl) を生成します。
```
openssl ca -gencrl -out client.crl -cert ca1.crt -keyfile ca1.key
```
構成・ amp; の管理 > Security Management ページに移動します。SSL Configuration タブで、設定するプライマリエンドポイントまたはクラスターエンドポイントの横にある クライアント失効ファイルの設定 ボタンをクリックします。
クライアント失効ファイルの設定 ダイアログボックスで、ステータス を有効に設定し、クライアント証明書失効リスト (CRL) ファイル (client.crl) の内容を貼り付けて、確定をクリックします。

ステップ 5：(任意) クライアント CA 証明書の無効化

説明

クライアント CA 証明書を無効にした後、クラスターのステータスが [SSL 変更中] に変わります。ステータスが 実行中 になるまで待ってから、次の手順に進んでください。

プライマリエンドポイントまたはクラスターエンドポイントのクライアント CA 証明書を無効にするには、SSL Configuration タブに移動し、そのエンドポイントの クライアント CA 証明書の設定 をクリックします。表示される クライアント CA 証明書の設定 ダイアログボックスで、無効をクリックしてから確定をクリックします。

ステップ 6：(任意) CRL ファイルの無効化

説明

クライアント証明書失効リストファイルを無効にした後、クラスターのステータスが [SSL 変更中] に変わります。ステータスが 実行中 になるまで待ってから、次の手順に進んでください。

プライマリエンドポイントまたはクラスターエンドポイントのクライアント証明書失効リストファイルを無効にするには、SSL Configuration タブに移動し、そのエンドポイントの クライアント失効ファイルの設定 をクリックします。表示される クライアント失効ファイルの設定 ダイアログボックスで、無効をクリックしてから確定をクリックします。