データベース接続を保護するための SSL 暗号化を設定する - PolarDB - Alibaba Cloud - PolarDB

暗号化されていないデータベース接続は、転送中のデータが傍受されるリスクにさらされます。SSL 暗号化は、アプリケーションと PolarDB-X 間のトランスポート層での接続を保護し、データの整合性と機密性を確保します。このトピックでは、SSL の有効化、CA 証明書のダウンロードと設定、クライアントからの接続、有効期限が切れる前の証明書の更新、および SSL の変更または無効化の方法について説明します。

前提条件

開始する前に、次のものがあることを確認してください。

バージョン 5.4.10 以降を実行している PolarDB-X インスタンス。バージョンを確認するには、PolarDB-X コンソールの [基本情報] ページに移動します。

事前準備

考慮事項	詳細
証明書の有効期間	SSL 証明書の有効期間は 1 年です。証明書の有効期限が切れる前に、有効期間を更新し、再度ダウンロードして再設定する必要があります。証明書の有効期限が切れている場合、クライアントは暗号化された接続を介して接続できません。
CPU への影響	SSL 暗号化により、CPU 使用率が大幅に増加する可能性があります。パブリックエンドポイント接続に対してのみ有効にしてください。プライベートエンドポイント接続は、ほとんどの場合、すでに安全であり、SSL は必要ありません。
インスタンスの再起動	SSL 暗号化の有効化、無効化、または再設定を行うと、インスタンスが再起動します。これらの操作はオフピーク時間に実行し、アプリケーションが自動的に再接続できることを確認してください。

SSL 暗号化の有効化

PolarDB-X コンソールにログインします。
上部のナビゲーションバーで、インスタンスが配置されているリージョンを選択します。
[インスタンス] ページで、[PolarDB-X 2.0] タブをクリックします。
ターゲットインスタンスを見つけ、その ID をクリックします。
左側のナビゲーションウィンドウで、[設定管理] ＞ [安全管理] を選択します。
[SSL 設定] タブをクリックします。
[SSL 設定] スイッチをオンにします。
SSL を有効にすると、[SSL 保護アドレス] はデフォルトでプライベートエンドポイントになります。代わりにパブリックエンドポイント接続を暗号化するには、「SSL 暗号化で保護されるエンドポイントの変更」をご参照ください。
確認ダイアログで、[OK] をクリックします。
重要
[OK] をクリックすると、インスタンスが再起動します。この操作はオフピーク時間に実行し、アプリケーションが自動的に再接続できることを確認してください。

SSL 暗号化が有効になったら、[CA 証明書のダウンロード] をクリックします。ダウンロードされたパッケージには、次の 3 つのファイルが含まれています。

Java 開発キット (JDK) 7 または JDK 8 で .jks ファイルを使用する場合は、アプリケーションホストの jre/lib/security/java.security を次の値で更新してください： jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224 jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024 この変更を行わないと、通常は無効な Java セキュリティ設定が原因で、次のエラーが表示されることがあります： javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

ファイル	ユースケース
`.p7b`	SSL 証明書を Windows システムにインポートします
`.pem`	SSL 証明書を Windows 以外のシステムやアプリケーションにインポートします
`.jks`	CA 証明書チェーンを Java プログラムにインポートします。トラストストアのパスワードは `apsaradb`

クライアントまたはアプリケーションでの SSL の設定

SSL を有効にした後、ダウンロードした証明書をクライアントまたはアプリケーションのコードで設定します。

MySQL Workbench

MySQL Workbench を起動します。
[データベース] > [接続の管理] を選択します。
[Use SSL] ドロップダウンリストで [If available] を選択し、SSL 証明書ファイルをインポートします。

Navicat

Navicat を起動します。
データベース接続を右クリックし、[Edit Connection] を選択します。
[SSL] タブをクリックし、.pem SSL 証明書ファイルへのパスを設定します。
[OK] をクリックします。
connection is being used が表示された場合、前のセッションがまだアクティブです。Navicat を再起動して、もう一度お試しください。
データベースをダブルクリックして接続を確認します。

SSL 証明書の有効期間の更新

重要

証明書の有効期間を更新すると、インスタンスが再起動します。この操作はオフピーク時間に実行し、アプリケーションが自動的に再接続できることを確認してください。
更新後、SSL 証明書を再度ダウンロードして再設定してください。

SSL 暗号化で保護されるエンドポイントの変更

PolarDB-X コンソールにログインします。
上部のナビゲーションバーで、インスタンスが配置されているリージョンを選択します。
[インスタンス] ページで、[PolarDB-X 2.0] タブをクリックします。
ターゲットインスタンスを見つけ、その ID をクリックします。
左側のナビゲーションウィンドウで、設定と管理 ＞ 安全管理 を選択します。
[SSL 設定] タブをクリックします。
[SSL の設定] をクリックします。
表示されるダイアログで、暗号化するエンドポイントを選択します。
SSL を有効にすると、[SSL 保護アドレス] はデフォルトでプライベートエンドポイントになります。これをパブリックエンドポイントに変更できます。保護されるエンドポイントを変更すると、インスタンスが再起動します。この操作はオフピーク時間に実行し、アプリケーションが自動的に再接続できることを確認してください。エンドポイントを変更した後、SSL 証明書を再度ダウンロードして再設定してください。
[OK] をクリックします。

SSL 暗号化の無効化

SSL 暗号化を無効にすると、インスタンスが再起動します。この操作はオフピーク時間に実行し、アプリケーションが自動的に再接続できることを確認してください。

SSL を無効にすると、データベースパフォーマンスは向上しますが、セキュリティは低下します。安全な環境でのみ無効にしてください。

PolarDB-X コンソールにログインします。
上部のナビゲーションバーで、インスタンスが配置されているリージョンを選択します。
[インスタンス] ページで、[PolarDB-X 2.0] タブをクリックします。
ターゲットインスタンスを見つけ、その ID をクリックします。
左側のナビゲーションウィンドウで、設定と管理 ＞ 安全管理 を選択します。
[SSL 設定] タブをクリックします。
[SSL 設定] スイッチをオフにします。
確認ダイアログで、[OK] をクリックします。