ApsaraDB RDS:クラウド証明書を使用した SSL の有効化

影響

• SSL 暗号化の有効化または無効化は、すべてのバージョンでインスタンスを再起動し、プライマリ/セカンダリ スイッチオーバーをトリガーします。この操作はオフピーク時間帯に実施し、アプリケーションに自動再接続メカニズムが備わっていることを推奨します。インスタンススイッチオーバーの影響の詳細については、「スイッチオーバーの影響」をご参照ください。

• 証明書を更新する際、MySQL 5.6、5.7、または 8.4 を実行しているインスタンスは再起動されます。MySQL 8.0 を実行しているインスタンスは再起動されません。

• SSL 暗号化を有効にすると、暗号化接続の使用により CPU 使用率が大幅に増加します。パブリックエンドポイントに対してのみ暗号化が必要な場合に SSL 暗号化を有効にすることを推奨します。内部エンドポイントは比較的安全であり、通常は暗号化を必要としません。

• 強制 SSL 暗号化を有効にすると、クライアントまたはデータベースプロキシからの SSL 暗号化接続のみが許可されます。非暗号化接続は拒否されます。

TLS バージョン

Transport Layer Security (TLS) は、インターネット通信のプライバシーとデータ整合性を保証するために広く使用されているプロトコルです。TLS プロトコルには複数のバージョンがあります。次の表は、ApsaraDB RDS for MySQL の各メジャーバージョンでサポートされている TLS バージョンを示しています。

デフォルトの ssl_cipher 構成

ApsaraDB RDS for MySQL は、安全な TLS 通信を実現するために OpenSSL を使用しています。MySQL 5.7 のマイナーエンジンバージョン 20230831 および MySQL 8.0 のマイナーエンジンバージョン 20230930 で、ApsaraDB RDS for MySQL は OpenSSL 3.0 にスペックアップされました。デフォルトでは、OpenSSL 3.0 は TLS 1.0 または TLS 1.1 を使用した通信をサポートしていません。詳細については、OpenSSL 公式ドキュメントをご参照ください。

互換性を確保するため、ApsaraDB RDS for MySQL は ssl_cipher パラメーターのデフォルト値を "ALL:@SECLEVEL=0" に調整し、TLS 1.0 および TLS 1.1 のサポートを復元しています。

ワークロードが TLS 1.2 以降のみを使用する場合、より高いセキュリティレベルを実現するために、ApsaraDB RDS コンソールで ssl_cipher パラメーターを "" (空文字列) に設定することを推奨します。

手順 1：SSL 暗号化を有効にする

1. インスタンス ページに移動します。上部ナビゲーションバーで、RDS インスタンスが配置されているリージョンを選択します。次に、RDS インスタンスを見つけ、インスタンス ID をクリックします。

2. 左側のナビゲーションウィンドウで、セキュリティコントロール をクリックします。

3. SSL タブで、無効 の横にあるスイッチをクリックします。

   説明

   SSL タブが表示されない場合は、前提条件 セクションの要件を満たしているかご確認ください。

4. 表示されるダイアログボックスで、SSL 暗号化を有効にするエンドポイントを選択します。

   内部エンドポイントまたはパブリックエンドポイントのいずれかを暗号化できますが、選択できるのは 1 つのエンドポイントのみです。

5. (オプション) 強制 SSL 暗号化を有効にするには、強制暗号化を有効にするかどうか の横にあるスイッチをクリックします。

   重要

   • 強制 SSL 暗号化を有効にするには、インスタンスが MySQL 8.4 を実行しているか、またはマイナーエンジンバージョンが 20241130 以降の MySQL 8.0 または 5.7 を実行している必要があります。

   • 強制 SSL 暗号化を有効にすると、クライアントまたはデータベースプロキシからの SSL 暗号化接続のみが許可されます。非暗号化接続は拒否されます。

6. OK をクリックして、SSL 暗号化を有効にします。

   処理には約 1 分かかります。手動でページをリフレッシュして、インスタンスステータスを確認できます。

手順 2：CA 証明書をダウンロードする

SSL 暗号化を有効にすると、ApsaraDB RDS for MySQL インスタンスの CA 証明書をダウンロードできます。クライアントはこの証明書を使用して、RDS インスタンスの真正性を検証します。

1. インスタンス ページに移動します。上部ナビゲーションバーで、RDS インスタンスが配置されているリージョンを選択します。次に、RDS インスタンスを見つけ、インスタンス ID をクリックします。

2. 左側のナビゲーションウィンドウで、セキュリティコントロール をクリックします。SSL タブで、CA 証明書のダウンロード をクリックします。

   ダウンロードされるファイルは、次の 3 つの CA ファイルを含む圧縮パッケージです：

   • PEM ファイル：ほとんどのシナリオに適しています。

   • JKS ファイル：Java アプリケーションに適しています。パスワードは apsaradb です。通常、PEM 形式の CA 証明書はトラストストアにインポートする必要があるため、Java で使用する前に JKS ファイルに変換する必要があります。

   • p7b ファイル：PKCS #7 証明書ファイルを必要とする一部の Windows アプリケーションに適しています。

手順 3：クライアントから接続する

SSL 暗号化を有効にしても、クライアント接続が暗号化されるかどうかは、クライアントの種類および設定に依存します。たとえば、一部のクライアントはデフォルトで暗号化接続を使用する場合があります。クライアントの設定またはコードを変更して、暗号化接続が確立され、ApsaraDB RDS for MySQL インスタンスの ID が検証されることを保証できます。

mysql -h {RDS_ENDPOINT} -u {RDS_ACCOUNT} -p --ssl-mode=PREFERRED

mysql -h {RDS_ENDPOINT} -u {RDS_ACCOUNT} -p --ssl-mode=VERIFY_CA --ssl-ca={CA_CERTIFICATE_PATH}/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.aliyun.sample;

import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.SQLException;

public class Sample {

    public static void main(String[] args) {

        Connection conn = null;
        MysqlDataSource mysqlDS=null;

        try{
            mysqlDS = new MysqlDataSource();
            // 必要に応じて sslMode を設定します。オプションについては CLI セクションをご参照ください。
            mysqlDS.setSslMode("VERIFY_IDENTITY");
          
            // トラストストアには CA 証明書を格納します。この例では JKS 形式を使用しています。
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // file:/ の後のパスを、ご利用の ApsaraDB-CA-Chain.jks ファイルのパスに置き換えます。
            mysqlDS.setTrustCertificateKeyStoreUrl("file:/D:\\ApsaraDB-CA-Chain\\ApsaraDB-CA-Chain.jks");
            // ダウンロードした JKS ファイルのパスワードは apsaradb で、変更できません。
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
          
            // ご利用のデータベースエンドポイント
            mysqlDS.setServerName("rm-xxxxxx.mysql.rds.aliyuncs.com");
            // ご利用のデータベースポート
            mysqlDS.setPort(3306);
            // ご利用のデータベースアカウント
            mysqlDS.setUser("xxxxxx");
            // ご利用のデータベースパスワード
            mysqlDS.setPassword("xxxxxx");
            // ご利用のデータベース名
            mysqlDS.setDatabaseName("xxxxxx");

            conn = mysqlDS.getConnection();

        }catch(Exception e){
            e.printStackTrace();
        } finally {
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }

}

# pymysql のインストール: pip install pymysql

import pymysql

try:
    # ca: CA 証明書ファイルへのパス。mode: 使用する SSL モード。
    ssl_config = {"ca":"/path/to/path/ca.crt", "mode":"VERIFY_CA"}
    conn = pymysql.connect(host='******.mysql.rds.aliyuncs.com', user='*****', passwd='******', db='*****', ssl=ssl_config)
    cursor = conn.cursor()
    cursor.execute('select version()')
    data = cursor.fetchone()
    print('Database version:', data[0])
    cursor.close()
except pymysql.Error as e:
    print(e)

よくある質問

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

関連 API

• RDS インスタンスの SSL 構成の表示

• RDS インスタンスの SSL 構成の変更