ApsaraDB RDS:SSL暗号化の設定

開始前のアプローチの選択

SSL を使用するには 2 つの方法があります。

• すべての接続に SSL を強制する：有効にすると、使用するエンドポイントにかかわらず、インスタンスへのすべてのクライアント接続で暗号化が必須になります。暗号化されていない接続は拒否され、クライアント側での CA 証明書は不要です。VPC インスタンスが必要です。

• 特定の接続 (内部またはパブリックエンドポイント) を暗号化する：選択したエンドポイントで SSL が有効になります。クライアントは、暗号化された接続を確立するために CA 証明書を提示する必要があります。

  説明

  トランスポート層セキュリティ (TLS) は SSL の後継プロトコルです。本トピックでは、SSL は TLS と SSL の両方を指します。ApsaraDB RDS for SQL Server は TLS 1.0、TLS 1.1、TLS 1.2 をサポートしています。

SSLの仕組み

暗号化された接続が確立される際のプロセスは以下の通りです。

1. RDS インスタンスはサーバー証明書 (公開鍵を含む) をクライアントに送信します。

2. クライアントはその公開鍵を使用して共通鍵を暗号化します。

3. RDS インスタンスは秘密鍵を使用して共通鍵を復号します。

4. 両者は共通鍵を使用して、以降のすべてのデータを暗号化および復号します。

オプションとして、クライアントは CA 証明書を使用してサーバー証明書を検証できます。これにより、RDS インスタンスの正当性を確認し、中間者攻撃を防ぎます。

前提条件

以下の前提条件は、カスタム証明書を使用する場合にのみ適用されます。開始する前に、次の点を確認してください。

• Object Storage Service (OSS) が有効化されていること。詳細については、「OSSのアクティブ化」をご参照ください。

• ApsaraDB RDS サービスアカウントが、Alibaba Cloud アカウント経由で OSS バケットにアクセスする権限を持っていること。

• カスタム証明書が PFX 形式であり、OSS バケットにアップロードされていること。手順については、「OSSコンソールの概要」をご参照ください。大きなファイルをアップロードする場合は、「マルチパートアップロード」をご参照ください。ブラウザベースのアップロードについては、「一般的な操作」をご参照ください。

制限事項

• SSL は、サーバーレスの ApsaraDB RDS for SQL Server インスタンスではサポートされていません。詳細については、「サーバーレス ApsaraDB RDS for SQL Server インスタンス」をご参照ください。

• SSL は、読み書き分離エンドポイントへの接続ではサポートされていません。詳細については、「読み取り専用ルーティングエンドポイントを有効にして読み書き分離を有効にする」をご参照ください。

• SSL が有効な場合、メジャーエンジンバージョンのアップグレード、マイナーエンジンバージョンの更新、新しいメジャーエンジンバージョンを実行する一時インスタンスの作成、およびゾーン間でのインスタンスの移行は実行できません。詳細については、「マイナーエンジンバージョンの更新」および「必要な SQL Server バージョンを実行する一時インスタンスの作成」をご参照ください。

使用上の注意

• 証明書の有効期間：SSL 証明書の有効期間は 1 年です。有効期限が切れる前に更新してください。有効期限が切れた証明書は、アプリケーションやクライアントによる暗号化接続の確立を妨げます。詳細については、「証明書の有効期間の更新」をご参照ください。

• インスタンスの再起動：SSL の有効化、無効化、または証明書の更新を行うと、インスタンスが再起動されます。インスタンスは数分間利用できなくなります。これらの操作はオフピーク時に実行してください。

• CPU オーバーヘッド：SSL 暗号化は CPU オーバーヘッドを大幅に増加させる可能性があります。パブリックエンドポイント経由での接続など、暗号化が必須な場合にのみ SSL を有効にしてください。

ステップ 1：SSLの有効化

1. ApsaraDB RDS コンソールにログインし、「インスタンス」ページに移動します。リージョンを選択し、対象のインスタンスを見つけて、そのインスタンス ID をクリックします。

2. 左側のナビゲーションペインで、[データセキュリティ] をクリックします。

3. [SSL] タブで、[SSL暗号化] スイッチをオンにします。

4. [SSLの設定] ダイアログボックスで、暗号化方法を選択し、パラメーターを設定します。

次のいずれかの方法を選択します。

ステップ 2：CA証明書のダウンロード

CA 証明書なしで SSL 経由で RDS インスタンスに接続できますが、ダウンロードして使用することを推奨します。CA 証明書を使用すると、クライアントは SSL ハンドシェイク中にサーバー証明書を検証でき、インスタンスの正当性を確認して中間者攻撃を防ぐことができます。

1. ApsaraDB RDS コンソールにログインし、「インスタンス」ページに移動します。リージョンを選択し、対象のインスタンスを見つけて、そのインスタンス ID をクリックします。

2. 左側のナビゲーションペインで、[データセキュリティ] をクリックします。

3. [SSL] タブで、[CA 証明書のダウンロード] をクリックします。

ダウンロードしたパッケージには、3 つの証明書ファイルが含まれています。

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

ステップ 3：クライアントでのSSLの設定

SSL を有効にした後、アプリケーションまたはクライアントで証明書を設定します。以下の手順では、SQL Server Management Studio (SSMS) を例として使用します。

付録：SSL接続のサンプルコード

Python

# -*- coding:utf-8 -*-

import ssl
import pyodbc

# ダウンロードした PEM 証明書を使用して SSL コンテキストを作成します
context = ssl.create_default_context(purpose=ssl.Purpose.SERVER_AUTH, cafile="D:\ca\ApsaraDB-CA-Chain.pem")

# RDS インスタンスに接続します
# プレースホルダーを実際の値に置き換えてください：
#   SERVER   - RDS インスタンスの接続文字列
#   DATABASE - データベース名
#   UID      - ユーザー名
#   PWD      - パスワード
conn = pyodbc.connect('DRIVER={ODBC Driver 17 for SQL Server};SERVER=rm-2zec********.sqlserver.rds.aliyuncs.com;DATABASE=master;UID=zhttest;PWD=zht****;Encrypt=yes', ssl=context)
cursor = conn.cursor()
cursor.execute('SELECT @@version')

rows = cursor.fetchall()
for row in rows:
    print(row)

conn.close()

C#

using System;
using System.Data.SqlClient;

namespace SqlConnectionSSLExample
{
    class Program
    {
        static void Main(string[] args)
        {
            // SSL 暗号化を有効にして RDS インスタンスに接続します
            // プレースホルダーを実際の値に置き換えてください：
            //   Data Source     - RDS インスタンスの接続文字列
            //   Initial Catalog - データベース名
            //   User ID         - ユーザー名
            //   Password        - パスワード
            string connectionString = "Data Source=rm-2ze********.sqlserver.rds.aliyuncs.com;Initial Catalog=master;User ID=zhttest;Password=zht****;Encrypt=true;";

            using (SqlConnection connection = new SqlConnection(connectionString))
            {
                connection.Open();
                try
                {
                    SqlCommand cmd = new SqlCommand("SELECT @@version", connection);
                    string result = cmd.ExecuteScalar().ToString();
                    Console.WriteLine(result);
                }
                catch (Exception ex)
                {
                    Console.WriteLine($"Error: {ex.Message}");
                }
            }
        }
    }
}

次のステップ

SELECT session_id, encrypt_option
FROM sys.dm_exec_connections;
GO

関連 API

• DescribeDBInstanceSSL

• ModifyDBInstanceSSL

よくある質問

有効期限が切れた SSL 証明書を更新しないとどうなりますか？ RDS インスタンスに障害が発生したり、セキュリティが低下したりしますか？

RDS インスタンスは正常に動作し続けますが、証明書の有効期限が切れると、クライアントは暗号化された接続を確立できなくなります。これにより接続が失敗したり、セキュリティ上の問題が発生したりする可能性があります。