SSL 暗号化を有効化し、アプリケーションサービスに SSL CA 証明書をインストールします - PolarDB

接続のセキュリティを強化するため、SSL 暗号化を有効化し、アプリケーションサービスに SSL CA 証明書をインストールできます。SSL は、トランスポート層でネットワーク接続を暗号化することで、転送中のデータのセキュリティと整合性を向上させます。ただし、接続レイテンシーも増加します。

適用範囲

PolarDB-X 2.0 インスタンスのバージョンが 5.4.10 以降である必要があります。インスタンスのバージョンは、基本情報ページで確認できます。

説明

PolarDB-X 1.0 (DRDS) は SSL 暗号化に対応していません。

注意事項

SSL 証明書の有効期間は1年間です。現在の証明書の有効期限が切れる前に、有効期間を更新し、CA 証明書をダウンロードして再設定する必要があります。これを行わないと、暗号化された接続を使用するクライアントアプリケーションが接続に失敗します。
SSL 暗号化を有効化すると、CPU 使用率が大幅に増加します。パブリックエンドポイント経由の接続で必要な場合にのみ、SSL 暗号化を有効化してください。プライベートエンドポイント経由の接続は一般的に安全であり、暗号化は不要です。
SSL 暗号化を有効化または無効化すると、インスタンスが再起動されます。この操作は慎重に実行してください。

SSL 暗号化の有効化

にログインします。PolarDB for Xscaleコンソール.
上部のナビゲーションバーで、ターゲットインスタンスが配置されているリージョンを選択します。
On theインスタンスページをクリックし、PolarDB-X 2.0タブをクリックします。
対象インスタンスを見つけ、そのIDをクリックします。
左側のナビゲーションペインで、構成と管理 > [セキュリティ管理]を選択します。
SSL Configuration タブをクリックし、SSL Configuration スイッチをオンにします。

説明
SSL-protected Endpoint は、デフォルトでプライベートエンドポイントです。保護されたアドレスをパブリックエンドポイントに変更できます。詳細については、「SSL 保護アドレスを変更する」をご参照ください。
表示されたダイアログボックスで、確定をクリックします。

重要
SSL 暗号化を有効化または無効化すると、インスタンスが再起動されます。この操作はオフピーク時間に実行し、アプリケーションに自動再接続メカニズムがあることを確認してください。
SSL 暗号化が有効になったら、Download CA Certificate をクリックします。
ダウンロードされるファイルは、次の3つのファイルを含む圧縮パッケージです。
- .p7b ファイル：Windows システムに CA 証明書をインポートする際に使用します。
- .pem ファイル：他のシステムまたはアプリケーションに CA 証明書をインポートする際に使用します。
- .jks ファイル：Java アプリケーションに CA 証明書チェーンをインポートするための Java KeyStore (JKS) トラストストアファイルです。パスワードは apsaradb です。
  説明
  JDK 7 または JDK 8 を使用する Java で JKS 証明書ファイルを使用する場合は、デフォルトのセキュリティ設定を変更する必要があります。アプリケーションのホスト上の jre/lib/security/java.security ファイルで、次の2つのパラメータを変更してください。
  
  jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224 jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024
  
  セキュリティ設定を変更しない場合、次のようなエラーが発生する可能性があります。この種のエラーは、通常 Java のセキュリティ設定が原因です。
  
  javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

SSL CA 証明書の設定

SSL 暗号化を有効化した後、アプリケーションまたはクライアントが PolarDB-X に接続する際に、SSL CA 証明書を設定する必要があります。このトピックでは、MySQL Workbench と Navicat を例として、SSL CA 証明書をインストールする方法を説明します。他のアプリケーションまたはクライアントについては、それぞれのドキュメントをご参照ください。

MySQL Workbench での設定

MySQL Workbench を起動します。
[データベース] > [接続の管理] を選択します。
[SSL を使用] を選択し、SSL CA 証明書をインポートします。

Navicat での設定

Navicat を起動します。
対象のデータベースを右クリックし、[接続の編集] を選択します。
[SSL] タブをクリックし、.pem CA 証明書ファイルへのパスを指定します。

[Use SSL] と [Use verification] を選択し、[OK] をクリックします。
確定をクリックします。

説明
connection is being used エラーが発生した場合、以前のセッションがまだアクティブです。Navicat を閉じて再起動してください。
対象のデータベースをダブルクリックして、接続をテストします。

接続が成功すると、PolarDB-X インスタンス内のデータベースが左側の接続ツリーに表示されます。これは、SSL CA 証明書が正しく設定されていることを示します。

証明書の有効期間の更新

説明

Update Validity Period 操作はインスタンスを再起動します。この操作はオフピーク時間中に実行し、アプリケーションに自動再接続メカニズムが備わっていることを確認してください。
Update Validity Period を実行した後、CA 証明書を再ダウンロードして設定する必要があります。

SSL 保護アドレスの変更

にログインします。PolarDB for Xscaleコンソール.
上部のナビゲーションバーで、ターゲットインスタンスが配置されているリージョンを選択します。
On theインスタンスページをクリックし、PolarDB-X 2.0タブをクリックします。
対象インスタンスを見つけ、そのIDをクリックします。
左側のナビゲーションペインで、構成と管理 > [セキュリティ管理]を選択します。
SSL Configuration タブをクリックします。
Configure SSL をクリックします。
表示されるダイアログボックスで、保護するエンドポイントを選択します。
説明
- SSL を有効にすると、SSL-protected Endpoint はデフォルトでプライベートエンドポイントになります。パブリックエンドポイントに変更することもできます。
- SSL 保護アドレスを変更すると、インスタンスが再起動されます。この操作はオフピーク時間に実行し、アプリケーションに自動再接続メカニズムがあることを確認してください。
- SSL 保護アドレスを変更した後、CA 証明書をダウンロードして再設定する必要があります。
確定をクリックします。

SSL 暗号化の無効化

説明

SSL 暗号化を無効化すると、インスタンスが再起動されます。この操作はオフピーク時間に実行し、アプリケーションに自動再接続メカニズムがあることを確認してください。
SSL 暗号化を無効化すると、データベースアクセスのパフォーマンスが向上しますが、セキュリティは低下します。信頼できない環境では SSL 暗号化を無効化しないでください。

にログインします。PolarDB for Xscaleコンソール.
上部のナビゲーションバーで、ターゲットインスタンスが配置されているリージョンを選択します。
On theインスタンスページをクリックし、PolarDB-X 2.0タブをクリックします。
対象インスタンスを見つけ、そのIDをクリックします。
左側のナビゲーションペインで、構成と管理 > [セキュリティ管理] を選択します。
SSL Configuration タブをクリックします。
SSL Configuration スイッチをオフにします。
表示されるダイアログボックスで、確定をクリックします。