ApsaraDB RDS:カスタム証明書を使用して SSL 暗号化を有効にする

ステップ 1: カスタム証明書を取得する

証明書の生成方法を説明するために、CentOS を例として使用します。

1. 自己署名証明書と自己署名証明書の秘密鍵を作成します。自己署名証明書は server-ca.crt という名前のファイルに保存されます。秘密鍵は server-ca.key という名前のファイルに保存されます。

   openssl req -new -x509 -days 365 -nodes -out server-ca.crt -keyout server-ca.key -subj "/CN=root-ca"

2. 証明書署名要求 (CSR) ファイルとサーバー証明書の秘密鍵を作成します。 CSR ファイルの名前は server.csr です。秘密鍵は server.key という名前のファイルに保存されます。

   カスタム証明書を使用して保護できるエンドポイントは 1 つだけです。ビジネス要件に基づいて CSR ファイルを生成するには、次のコマンドを実行できます。

   openssl req -new -nodes -text -out server.csr -keyout server.key -subj "/CN=rm-bpxxxxx.mysql.rds.aliyuncs.com"

   説明

   rm-bpxxxxx.mysql.rds.aliyuncs.com を保護するエンドポイントに置き換えます。エンドポイントを表示する方法の詳細については、「インスタンスのエンドポイントとポートを表示および管理する」をご参照ください。

   server.csr ファイルの作成中に、ビジネス要件に基づいてパラメータを構成するように求められます。次の表にパラメータを示します。

   パラメーター	説明	値の例
   国名	国のコード。国際標準化機構 (ISO) で定義されている 2 文字の国別コードを指定します。	CN
   都道府県名	県。	ZheJiang
   地域名	市。	HangZhou
   組織名	企業の名前。	Alibaba
   組織単位名	部署の名前。	Aliyun
   共通名	証明書を使用して保護するドメイン名。ドメイン名は openssl.cnf ファイルで指定されています。このパラメータを構成する必要はありません。	-
   メールアドレス	このパラメータを構成する必要はありません。	-
   チャレンジパスワード	このパラメータを構成する必要はありません。	-
   オプションの会社名	このパラメータを構成する必要はありません。	-

3. サーバー証明書を作成します。サーバー証明書は server.crt という名前のファイルに保存されます。

   • エンドポイントを保護する場合は、次のコマンドを実行します。

     openssl x509 -req -in server.csr -text -days 365 -CA server-ca.crt -CAkey server-ca.key -CAcreateserial  -out server.crt

構成が完了したら、ls コマンドを実行して、生成されたファイルを表示します。

# ls
server-ca.crt  server-ca.key  ca.srl  server.crt  server.csr  server.key

以下に、ファイルの説明を示します。

• server.crt：サーバー証明書を含むファイル

• server.key：サーバー証明書の秘密鍵を含むファイル

• server-ca.crt：自己署名証明書を含むファイル

• server-ca.key：自己署名証明書の秘密鍵を含むファイル

手順 2: カスタム証明書を構成して SSL 暗号化を有効にする

1. ApsaraDB RDS コンソールにログインし、[インスタンス] ページに移動します。上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択し、RDS インスタンスを見つけて、インスタンス ID をクリックします。

2. 表示されるページの左側のナビゲーションウィンドウで、[データセキュリティ] をクリックします。表示されるページで、[SSL] タブをクリックします。

3. [カスタム証明書] をクリックします。次に、[無効] の横にあるスイッチをクリックします。表示されるダイアログボックスで、[サーバー証明書]、[サーバー証明書の秘密鍵]、および [強制暗号化] パラメータを構成し、[OK] をクリックします。

   パラメーター	説明
   サーバー証明書	作成した server.crt ファイルの内容を入力します。詳細については、「手順 1：カスタム証明書を作成する」をご参照ください。 -----BEGIN CERTIFICATE----- から -----END CERTIFICATE----- までのすべてのコンテンツがこのフィールドにコピーされていることを確認してください。
   サーバー証明書の秘密鍵	作成した server.key ファイルの内容を入力します。詳細については、「手順 1：カスタム証明書を作成する」をご参照ください。 -----BEGIN PRIVATE KEY----- から -----END PRIVATE KEY----- までのすべてのコンテンツがこのフィールドにコピーされていることを確認してください。
   強制暗号化	ビジネス要件に基づいて機能を有効または無効にします。 強制 SSL 暗号化機能は、RDS インスタンスで MySQL 5.7 および 20241130 以降のマイナーエンジンバージョンが実行されている場合にのみ有効にできます。 RDS インスタンスの強制 SSL 暗号化機能を有効にした後、クライアントまたはデータベースプロキシを RDS インスタンスに接続できるのは、SSL で暗号化された接続経由のみになります。 SSL で暗号化されていない接続は拒否されます。

手順 3：クライアントから RDS インスタンスに接続する

SSL 経由で RDS インスタンスに接続できます。詳細については、「SSL 経由で ApsaraDB RDS for MySQL インスタンスに接続する」をご参照ください。

手順 4：（オプション）作成したカスタム証明書を更新する

カスタム証明書を更新する場合は、[SSL] タブの SSL を更新する をクリックします。表示されるダイアログボックスで、[サーバー証明書] パラメータと [サーバー証明書の秘密鍵] パラメータを構成します。

手順 5：（オプション）SSL 暗号化を無効にする

[SSL] タブで、[有効] の横にあるスイッチをクリックします。