ApsaraDB RDS:SSL 暗号化機能を構成する

前提条件

カスタム鍵を暗号化に使用する前に、次の要件が満たされていることを確認してください。

• Object Storage Service (OSS) がアクティブ化されている。 詳細については、「OSS をアクティブ化する」をご参照ください。

• ApsaraDB RDS のサービスアカウントが、Alibaba Cloud アカウントを使用して OSS バケットにアクセスすることを承認されている。

• カスタム証明書が PFX 形式であり、OSS バケットにアップロードされている。 詳細については、「OSS コンソールを使用して開始する」、「マルチパートアップロード」、および「一般的な操作」をご参照ください。

使用上の注意

• SSL 証明書の有効期間は 1 年です。 使用されている SSL 証明書の有効期限が切れる前に、SSL 証明書の有効期間を更新する必要があります。 SSL 証明書の有効期間を更新しないと、暗号化されたネットワーク接続を使用するアプリケーションまたはクライアントは RDS インスタンスに接続できません。 SSL 証明書の有効期間を更新する方法の詳細については、「SSL 証明書の有効期間を更新する」をご参照ください。

• RDS インスタンスの SSL 暗号化機能を有効または無効にするか、SSL 証明書を更新すると、RDS インスタンスが再起動します。 再起動中は RDS インスタンスが数分間使用できなくなります。 したがって、これらの操作はオフピーク時に実行することをお勧めします。

• SSL 暗号化により、CPU 使用率が大幅に増加する可能性があります。 RDS インスタンスのパブリックエンドポイントへの接続を暗号化する必要がある場合にのみ、SSL 暗号化機能を有効にすることをお勧めします。

制限事項

• サーバーレス RDS インスタンスでは、SSL 暗号化機能はサポートされていません。 詳細については、「サーバーレス ApsaraDB RDS for SQL Server インスタンス」をご参照ください。

• RDS インスタンスの読み取り/書き込み分離エンドポイントへの接続では、SSL 暗号化機能はサポートされていません。 この機能の詳細については、「読み取り専用ルートエンドポイントを有効にして読み取り/書き込み分離を有効にする」をご参照ください。

• RDS インスタンスで SSL 暗号化機能が有効になっている場合、メジャーエンジンバージョンをアップグレードしたり、マイナーエンジンバージョンを更新したり、RDS インスタンスよりも後のメジャーエンジンバージョンを実行する一時 RDS インスタンスを作成したり、ゾーン間で RDS インスタンスを移行したりすることはできません。 詳細については、「メジャーエンジンバージョンをアップグレードする」、「マイナーエンジンバージョンを更新する」、「必要な SQL Server バージョンを実行する一時 RDS インスタンスを作成する」、および「ゾーン間で ApsaraDB RDS for SQL Server インスタンスを移行する」をご参照ください。

1. RDS インスタンスの SSL 暗号化機能を有効にする

1. ApsaraDB RDS コンソールにログインし、[インスタンス] ページに移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 次に、RDS インスタンスを見つけて、インスタンス ID をクリックします。

2. 左側のナビゲーションウィンドウで、セキュリティコントロール をクリックします。

3. SSL タブで、無効 をオンにします。

4. SSL の設定 ダイアログボックスで、暗号化方式を選択し、設定を構成します。

   Alibaba Cloud によって自動的に生成された鍵を使用する

   

   パラメーター	必須	説明
   保護されたエンドポイントを選択します：	はい	SSL 暗号化機能を有効にするエンドポイントを選択します。 ビジネス要件に基づいて、RDS インスタンスの内部エンドポイントまたはパブリックエンドポイントに確立された接続を暗号化できます。 両方のタイプの接続を暗号化することはできません。 説明 RDS インスタンスのパブリックエンドポイントに確立された接続を暗号化する場合は、パブリックエンドポイントを申請済みであることを確認してください。 詳細については、「パブリックエンドポイントを申請または解放する」をご参照ください。
   強制暗号化を有効にするかどうか	いいえ	強制的な SSL 暗号化をサポートするかどうかを指定します。 強制 SSL 暗号化は、RDS インスタンスの内部エンドポイントに確立された接続でのみサポートされます。 強制暗号化をオンにした後、CA 証明書をアップロードする必要はなく、暗号化されていない接続はサポートされません。 説明 この機能は、仮想プライベートクラウド (VPC) に存在する RDS インスタンスに対してのみ有効にできます。 詳細については、「ネットワークタイプを変更する」をご参照ください。 RDS インスタンスのパブリックエンドポイントに確立された接続では、強制 SSL 暗号化はサポートされていません。 RDS インスタンスの内部エンドポイントとパブリックエンドポイントに確立された接続が存在する場合、RDS インスタンスの内部エンドポイントに確立された接続に対して強制暗号化をオンにするには、最初にパブリックエンドポイントを解放する必要があります。 詳細については、「パブリックエンドポイントを申請または解放する」をご参照ください。
   最小 TLS バージョンがサポートされています	いいえ	サポートされている最小 TLS バージョンを選択します。 有効な値：1.0、1.1、および 1.2。 たとえば、このパラメーターを 1.1 に設定すると、サーバーは TLS 1.1 および TLS 1.2 プロトコルを介した接続のみを受け入れます。

   カスタム鍵を使用して暗号化する

   説明

   カスタム鍵を暗号化に使用する前に、「前提条件」で説明されている要件が満たされていることを確認してください。

   1. [PFX 形式の証明書を OSS にアップロードする] ステップで、[次のステップ] をクリックします。

   2. [カスタム鍵暗号化を使用する] ステップで、必要なパラメーターを構成し、[次のステップ] をクリックします。 次の表にパラメーターを示します。

      

      パラメーター	説明
      [OSS バケット]	証明書が存在する OSS バケットを選択します。
      [証明書]	必要な PFX 証明書を選択します。
      [パスワード]	証明書のパスワードを入力します。

   3. [全般オプションの設定] ステップで、次のパラメーターを構成します。

      

      パラメーター	必須	説明
      保護されたエンドポイントを選択します：	はい	SSL 暗号化機能を有効にするエンドポイントを選択します。 ビジネス要件に基づいて、RDS インスタンスの内部エンドポイントまたはパブリックエンドポイントに確立された接続を暗号化できます。 両方のタイプの接続を暗号化することはできません。 説明 RDS インスタンスのパブリックエンドポイントに確立された接続を暗号化する場合は、パブリックエンドポイントを申請済みであることを確認してください。 詳細については、「パブリックエンドポイントを申請または解放する」をご参照ください。
      強制暗号化を有効にするかどうか	いいえ	強制的な SSL 暗号化をサポートするかどうかを指定します。 強制 SSL 暗号化は、RDS インスタンスの内部エンドポイントに確立された接続でのみサポートされます。 強制暗号化をオンにした後、CA 証明書をアップロードする必要はなく、暗号化されていない接続はサポートされません。 説明 この機能は、仮想プライベートクラウド (VPC) に存在する RDS インスタンスに対してのみ有効にできます。 詳細については、「ネットワークタイプを変更する」をご参照ください。 RDS インスタンスのパブリックエンドポイントに確立された接続では、強制 SSL 暗号化はサポートされていません。 RDS インスタンスの内部エンドポイントとパブリックエンドポイントに確立された接続が存在する場合、RDS インスタンスの内部エンドポイントに確立された接続に対して強制暗号化をオンにするには、最初にパブリックエンドポイントを解放する必要があります。 詳細については、「パブリックエンドポイントを申請または解放する」をご参照ください。
      最小 TLS バージョンがサポートされています	いいえ	サポートされている最小 TLS バージョンを選択します。 有効な値： 1.0、1.1、および 1.2。 たとえば、このパラメーターを 1.1 に設定すると、サーバーは TLS 1.1 および TLS 1.2 プロトコルを介した接続のみを受け入れます。

5. [OK] をクリックします。

   SSL 暗号化機能を有効にするには約 1分かかります。 ページを更新して、RDS インスタンスのステータスを表示できます。

2. SSL 証明書をダウンロードする

CA 証明書なしで SSL 暗号化機能を使用して RDS インスタンスに接続できます。 CA 証明書をダウンロードして使用することをお勧めします。 CA 証明書を使用して、SSL ハンドシェイク中に受信したサーバー証明書を検証できます。 これにより、RDS インスタンスの ID を確認し、中間者攻撃を防ぐのに役立ちます。

1. ApsaraDB RDS コンソールにログインし、[インスタンス] ページに移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 次に、RDS インスタンスを見つけて、インスタンス ID をクリックします。

2. 左側のナビゲーションウィンドウで、セキュリティコントロール をクリックします。

3. SSL タブで、CA 証明書のダウンロード をクリックします。

   ダウンロードしたファイルは、次のファイルを含むパッケージです。

   • P7B ファイル：Windows オペレーティングシステムに使用される SSL 証明書ファイル。

   • PEM ファイル：Windows 以外のオペレーティングシステム、または Windows で実行されていないアプリケーションに使用される SSL 証明書ファイル。

   • JKS ファイル：Java でサポートされているトラストストアに保存されている SSL 証明書ファイル。 このファイルを使用して、SSL 証明書チェーンから SSL 証明書ファイルを Java ベースのアプリケーションにインポートできます。 デフォルトのパスワードは apsaradb です。

   重要

   JDK 7 または JDK 8 で JKS ファイルを使用する場合は、アプリケーションが存在するホストの jre/lib/security/Java.security ファイルで、次のデフォルトの JDK セキュリティ設定項目を変更する必要があります。

   jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
   jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

   これらの構成を変更しないと、次のエラーが報告されます。 ほとんどの場合、他の同様のエラーも無効な Java セキュリティ構成が原因で発生します。

   javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

3. SSL 証明書を構成する

SSL 暗号化機能を有効にした後、アプリケーションまたはクライアントで SSL 証明書を構成する必要があります。 このトピックでは、SQL Server Management Studio (SSMS) を使用して SSL 証明書をインストールする例を示します。 他のアプリケーションまたはクライアントを使用する場合は、関連する手順を参照してください。

付録：SSL 経由の接続のサンプルコード

# -*- coding:utf-8 -*-
import pymssql

conn = pymssql.connect(host='your_rds_instance_endpoint',port='your_rds_instance_port',user='your_username',password='your_password',database='your_database_name',ssl={'ca':'path_to_your_ca_certificate'})

cursor = conn.cursor()
cursor.execute("SELECT 1")
row = cursor.fetchone()
while row:
    print(row)
    row = cursor.fetchone()
conn.close()

using System;
using System.Data.SqlClient;

namespace SqlConnectionSSLExample
{
    class Program
    {
        static void Main(string[] args)
        {
            // 接続を確立します。
            // Data Source は、必要な SQL Server データベースが存在するサーバーの IP アドレスを指定します。Initial Catalog は、接続する必要のあるデータベースの名前を指定します。User ID は、データベースへの接続に必要なユーザー名を指定します。Password は、データベースへの接続に必要なパスワードを指定します。Encrypt は、SSL 暗号化伝送を有効にするかどうかを指定します。値 true は、SSL 暗号化が有効になっていることを示します。
            string connectionString = "Data Source=rm-2ze********.sqlserver.rds.aliyuncs.com;Initial Catalog=master;User ID=zhttest;Password=zht****;Encrypt=true;";
            using (SqlConnection connection = new SqlConnection(connectionString))
            {
                // 接続を開きます。
                connection.Open();
                try
                {
                    // SQL 文を実行します。
                    SqlCommand cmd = new SqlCommand("SELECT @@version", connection);

                    string result = cmd.ExecuteScalar().ToString();

                    Console.WriteLine(result);
                }
                catch (Exception ex)
                {
                    Console.WriteLine($"Error: {ex.Message}");
                }
            }
        }
    }
}

関連操作

• DBインスタンスの SSL を記述する

• DBインスタンスの SSL を変更する

4. SSL 証明書の有効期間を更新する

SELECT session_id,encrypt_option
FROM sys.dm_exec_connections;
GO

よくある質問

期限切れの SSL 証明書を更新しないと、ビジネスにどのような影響がありますか。RDS インスタンスでエラーが発生しますか、それともデータ セキュリティが低下しますか。

期限切れの SSL 証明書を更新しなくても、RDS インスタンスは想定どおりに動作し続け、セキュリティ リスクは発生しません。ただし、アプリケーションは RDS インスタンスへの暗号化された接続を確立できません。