ApsaraDB RDS:SSL 暗号化機能の設定

前提条件

開始する前に、以下を確認してください。

• お使いの RDS インスタンスで [SSL 暗号化] を使用するには、次のいずれかの MySQL バージョンおよびエディションを実行している必要があります:

  MySQL バージョン	High-availability Edition	Cluster Edition	Basic Edition
  8.0	サポート済み	サポート済み	サポート済み
  5.7	サポート済み	サポート済み	サポート済み
  5.6	サポート済み	—	—

• お使いの RDS インスタンスで[強制 SSL 暗号化] を使用するには、次の両方の要件を満たす必要があります：

  • Basic Edition、High-availability Edition、または Cluster Edition で MySQL 8.4、8.0、または 5.7 を実行している

  • マイナーエンジンバージョンが 20241130 以降である

お使いの RDS インスタンスの [基本情報] ページでこれらの詳細を確認してください。 インスタンスが要件を満たしているにもかかわらず [SSL] タブが表示されない場合は、マイナーエンジンバージョンを更新してください。 詳細については、「マイナーエンジンバージョンをアップグレードする」をご参照ください。 非サーバーレスのベーシック版 RDS インスタンスの課金方法をサーバーレスに変更した場合、SSL 暗号化を再度有効にする必要があります。

潜在的リスク

再起動と切り替えの動作：

これらの操作はオフピーク時間帯に実行し、再起動後にアプリケーションが自動的に再接続するように設定してください。

CPU オーバーヘッド： SSL 暗号化された接続は、CPU 使用率を大幅に増加させます。暗号化が必要なエンドポイント (通常はパブリックエンドポイント) に対してのみ SSL を有効にしてください。

強制 SSL 暗号化： 強制 SSL 暗号化を有効にすると、クライアントおよびデータベースプロキシからの非 SSL 接続は拒否されます。

仕組み

SSL 暗号化を有効にすると、RDS インスタンスはサーバー証明書、公開鍵、秘密鍵を生成します。

SSL ハンドシェイク中：

1. RDS インスタンスはサーバー証明書 (公開鍵を含む) をクライアントに送信します。

2. クライアントは、受信した公開鍵を使用して対称キーを暗号化します。

3. RDS インスタンスは、その秘密鍵を使用して対称キーを復号します。

4. 双方は、対称キーを使用してデータを暗号化および復号します。

オプションで、クライアントは認証局 (CA) の証明書でサーバー証明書を検証し、サーバーのアイデンティティを確認して中間者攻撃を防ぐことができます。

TLS バージョンのサポート

TLS 1.0 および TLS 1.1 は、2021 年に Internet Engineering Task Force (IETF) によって非推奨とされました。TLSv1.2 以降を使用してください。詳細については、「RFC 8996」をご参照ください。

証明書の種類

どちらの証明書タイプも 1 つのエンドポイントを保護し、同じ目的を果たします。すなわち、SSL 暗号化を有効にし、クライアントがサーバーを認証できるようにすることです。

このトピックでは、クラウド証明書について説明します。カスタム証明書を使用するには、「カスタム証明書の設定」をご参照ください。

ステップ 1： SSL 暗号化の有効化

1. インスタンス ページに移動します。上部メニューで、RDS インスタンスが存在するリージョンを選択します。インスタンスを見つけて、その ID をクリックします。

2. 左側のナビゲーションペインで、セキュリティコントロール をクリックします。

3. [SSL] タブで、[無効] の横にあるスイッチをオンにします。

   [SSL] タブが表示されない場合は、インスタンスが前提条件に記載されているすべての要件を満たしていることを確認してください。

4. 表示されるダイアログボックスで、保護するエンドポイント (内部エンドポイントまたは公開エンドポイント) を選択し、[OK] をクリックします。一度に保護できるエンドポイントは 1 つだけです。

5. (オプション) [強制的な暗号化] をオンにします。

   重要

   強制 SSL 暗号化には、MySQL 8.4、8.0、または 5.7 と、マイナーエンジンバージョン 20241130 以降が必要です。強制 SSL 暗号化を有効にすると、SSL 暗号化された接続のみが受け入れられます。クライアントおよびデータベースプロキシからの非 SSL 接続は拒否されます。

6. プロセスが完了するまで約 1 分間待ちます。ページを更新して、機能が有効になっていることを確認してください。

   説明

   読み取り専用インスタンスの SSL 暗号化は、プライマリインスタンスとは独立しています。プライマリインスタンスで SSL 暗号化を有効にしても、関連付けられた読み取り専用インスタンスでは自動的に有効になりません。読み取り専用インスタンスで SSL 暗号化を有効にするには、読み取り専用インスタンスの詳細ページに移動し、[データセキュリティ] > [SSL] をクリックして、SSL 暗号化を手動でオンにします。

ステップ 2： CA 証明書のダウンロード

1. インスタンス ページに移動し、インスタンスを見つけて、その ID をクリックします。

2. 左側のナビゲーションペインで、セキュリティコントロール をクリックします。[SSL] タブで、[CA 証明書のダウンロード] をクリックします。

ダウンロードしたパッケージには、次の 3 つのファイルが含まれています。

ステップ 3： SSL を使用した接続

SSL 暗号化を有効にした後、暗号化された接続を介して接続するようにクライアントを設定します。利用可能な SSL モードは次のとおりです。

mysql -h <endpoint> -u <username> -p --ssl-mode=PREFERRED

mysql -h <endpoint> -u <username> -p \
  --ssl-mode=VERIFY_CA \
  --ssl-ca=<path-to-certificate>/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.aliyun.sample;

import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.SQLException;

public class Sample {

    public static void main(String[] args) {

        Connection conn = null;
        MysqlDataSource mysqlDS = null;

        try {
            mysqlDS = new MysqlDataSource();

            // SSL モードを設定します。オプション： DISABLED、PREFERRED、REQUIRED、VERIFY_CA、VERIFY_IDENTITY。
            mysqlDS.setSslMode("VERIFY_IDENTITY");

            // トラストストアにはCA証明書を格納します。この例では JKS 形式を使用します。
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // システム上の ApsaraDB-CA-Chain.jks への実際のパスに置き換えてください。
            mysqlDS.setTrustCertificateKeyStoreUrl("file:/D:\\ApsaraDB-CA-Chain\\ApsaraDB-CA-Chain.jks");
            // JKS ファイルのパスワードは常に apsaradb です。
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");

            // 以下の値を実際の RDS インスタンスの詳細に置き換えてください。
            mysqlDS.setServerName("rm-xxxxxx.mysql.rds.aliyuncs.com"); // RDS エンドポイント
            mysqlDS.setPort(3306);
            mysqlDS.setUser("xxxxxx");          // データベースアカウントのユーザー名
            mysqlDS.setPassword("xxxxxx");      // データベースアカウントのパスワード
            mysqlDS.setDatabaseName("xxxxxx");  // データベース名

            conn = mysqlDS.getConnection();

        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            try {
                if (conn != null) conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

# PyMySQL のインストール： pip install pymysql

import pymysql

try:
    ssl_config = {
        "ca": "/path/to/ApsaraDB-CA-Chain.pem",  # CA 証明書へのパス
        "mode": "VERIFY_CA"                        # SSL モード
    }
    conn = pymysql.connect(
        host="******.mysql.rds.aliyuncs.com",
        user="*****",
        passwd="******",
        db="*****",
        ssl=ssl_config
    )
    cursor = conn.cursor()
    cursor.execute("SELECT VERSION()")
    data = cursor.fetchone()
    print("Database version:", data[0])
    cursor.close()
except pymysql.Error as e:
    print(e)

追加の操作

-- 現在のセッションで使用されている暗号スイートを確認します。
-- 空でない結果は、接続が暗号化されていることを示します。
SHOW STATUS LIKE 'Ssl_cipher';

-- 現在のセッションで使用されている TLS バージョンを確認します。
SHOW STATUS LIKE 'Ssl_version';

ALTER USER 'testuser'@'%' REQUIRE SSL;

openssl x509 -in <path-to-certificate>/ApsaraDB-CA-Chain.pem -text

よくある質問

サーバーとクライアントの両方のアイデンティティを検証する相互認証を設定できますか？

ApsaraDB RDS for MySQL は、SSL ハンドシェイク中のクライアントアイデンティティ検証をサポートしていません。ホワイトリストとアカウント管理を使用してアクセスを制御してください。

読み書き分離エンドポイントの SSL 暗号化を設定するにはどうすればよいですか？

「データベースプロキシエンドポイントの SSL 暗号化の設定」をご参照ください。

Java アプリケーション：「javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints」

このエラーは、デフォルトの JDK 7 または JDK 8 のセキュリティ設定で発生します。アプリケーションホストの jre/lib/security/java.security ファイルで、次のように設定します。

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

Java アプリケーション：「javax.net.ssl.SSLHandshakeException: No appropriate protocol (protocol is disabled or cipher suites are inappropriate)」

MySQL Connector/J 8.0.18 以前では、MySQL 5.6 または 5.7 インスタンスに接続する際に TLSv1.2 が無効になります。次のいずれかの方法でこの問題を修正できます。

• MySQL Connector/J を 8.0.19 以降にアップグレードします

• RDS インスタンスを MySQL 8.0 にアップグレードします

• 接続設定で enabledTLSProtocols または tlsVersions を TLSv1.2 に設定して、TLS バージョンを明示的に指定します

関連 API

• DescribeDBInstanceSSL

• ModifyDBInstanceSSL