RDS for MySQL データベースプロキシの SSL 暗号化の設定 - ApsaraDB RDS

ApsaraDB RDS for MySQL は、プロキシエンドポイントのセキュアソケットレイヤー (SSL) 暗号化をサポートしています。SSL 暗号化を有効にし、アプリケーションに CA 証明書をインストールすることで、転送中のデータを保護できます。このトピックでは、データベースプロキシの SSL 暗号化を設定する方法について説明します。

SSL はトランスポート層でネットワーク接続を暗号化し、転送中のデータを保護してその整合性を保証します。ただし、接続の応答時間がわずかに長くなることがあります。

前提条件

インスタンスのエンジンバージョン：MySQL 8.4、8.0、5.7、または 5.6
製品エディション：Cluster Edition または High-availability Edition
説明
- インスタンスに読み取り専用インスタンスがある場合、それらのインスタンスもマイナーエンジンバージョンの要件を満たす必要があります。
- MySQL 8.0、5.7、または 5.6 の High-availability Edition インスタンスの場合、マイナーエンジンバージョンは 20200831 以降である必要があります。
データベースプロキシが有効であること。
データベースプロキシのマイナーエンジンバージョンが 2.25.3 以降であること。
対象のプロキシエンドポイントが 64 文字以下であること。

注意事項

SSL 暗号化を有効にできるのは、プロキシターミナルごとに 1 つのプロキシエンドポイントのみです。
SSL 暗号化の有効化または無効化、暗号化エンドポイントの変更、または証明書の有効期間の更新を行うと、プロキシインスタンスが再起動します。慎重に操作してください。

SSL 暗号化の有効化

重要

SSL 暗号化を有効にすると、プロキシインスタンスが再起動します。慎重に操作してください。

インスタンスページに移動し、ページ上部でリージョンを選択した後、対象インスタンスの ID をクリックします。
左側のナビゲーションペインで、データベースプロキシ をクリックします。
接続情報 セクションで、対象のプロキシエンドポイント ID にカーソルを合わせます。表示されるダイアログボックスで、SSL の設定情報 セクションに移動し、SSL 証明書情報 の横にある Activate をクリックします。
表示されるダイアログボックスで、暗号化するエンドポイントを選択し、OK をクリックします。
SSL のステータスが 有効化されました に変わったら、SSL 証明書情報 の横にある CA 証明書のダウンロード をクリックします。
説明
- ダウンロードされたファイルは、次の 3 つのファイルを含む圧縮アーカイブです：
  - PEM ファイル：ほとんどのユースケースに適しています。
  - JKS ファイル：通常、Java アプリケーションでは、PEM 証明書を JKS トラストストアにインポートする必要があります。この JKS ファイルは Java アプリケーションで直接使用できます。パスワードは apsaradb です。
  - P7B ファイル：PKCS #7 証明書ファイルを必要とする一部の Windows アプリケーションに適しています。
- SSL CA 証明書を設定した後、データベースのサーバー証明書を検証できます。
- Java Development Kit (JDK) 7 または 8 で JKS 証明書ファイルを使用する場合は、デフォルトのセキュリティ設定を変更する必要があります。アプリケーションホストで、jre/lib/security/java.security ファイルを開き、次の 2 つのパラメーターを変更します。
```
jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024
```
  セキュリティ設定を変更しないと、以下のようなエラーが発生することがあります。同様のエラーは、多くの場合、Java のセキュリティ設定が原因で発生します。
```
javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints
```

CA 証明書の設定

SSL 暗号化を有効にして CA 証明書をダウンロードした後、CA 証明書を設定できます。詳細については、「CA 証明書の設定」をご参照ください。

暗号化エンドポイントの変更

重要

暗号化エンドポイントを変更すると、証明書の有効期間が更新され、プロキシインスタンスが再起動します。慎重に操作してください。

RDSインスタンスにアクセスし、上部のリージョンを選択し、対象のRDSインスタンスのIDをクリックします。
左側のナビゲーションペインで、データベースプロキシ をクリックします。
接続情報 セクションで、対象のプロキシエンドポイント ID にカーソルを合わせます。表示されるダイアログボックスで、SSL の設定情報 セクションに移動し、保護されたアドレス の下にある 保護されたアドレスの変更 をクリックします。
暗号化するエンドポイントを選択し、OK をクリックします。

証明書の有効期間の更新

重要

証明書の有効期間を更新すると、プロキシインスタンスが再起動します。慎重に操作してください。

RDSインスタンスにアクセスし、上部のリージョンを選択し、対象のRDSインスタンスのIDをクリックします。
左側のナビゲーションペインで、データベースプロキシ をクリックします。
接続情報 セクションで、対象のプロキシエンドポイント ID にカーソルを合わせます。表示されるダイアログボックスで、SSL の設定情報 セクションに移動し、SSL 証明書情報 の横にある 有効期限の更新 をクリックします。その後の確認ダイアログボックスで OK をクリックします。

SSL 暗号化の無効化

重要

SSL 暗号化を無効にすると、プロキシインスタンスが再起動します。慎重に操作してください。

RDSインスタンスにアクセスし、上部のリージョンを選択し、対象のRDSインスタンスのIDをクリックします。
左側のナビゲーションペインで、データベースプロキシをクリックします。
接続情報 セクションで、対象のプロキシエンドポイント ID にカーソルを合わせます。表示されるダイアログボックスで、SSL の設定情報 セクションに移動し、SSL 証明書情報 の横にある 閉じる をクリックします。その後の確認ダイアログボックスで OK をクリックします。

API リファレンス

API	説明
ModifyDbProxyInstanceSsl	プロキシエンドポイントの SSL 暗호化を設定します。
GetDbProxyInstanceSsl	プロキシエンドポイントの SSL 暗호化情報を照会します。

付録

SSL 接続のサンプルコード

詳細については、「SSL を介したデータベースへの接続のサンプルコード」をご参照ください。

SSL 暗号化に関するよくある質問

詳細については、「SSL 暗号化に関するよくある質問」をご参照ください。