PolarDB:Configure SSL encryption

Etapa 1: Ativar criptografia SSL

1. Faça login no console do PolarDB. No painel de navegação à esquerda, clique em Clusters. Selecione a região onde seu cluster está localizado e clique no ID do cluster.

2. No painel de navegação à esquerda, escolha Settings and Management > Security.

3. Na aba SSL Settings, ative a chave SSL Status para habilitar a criptografia SSL.

   Nota

   É possível configurar SSL para endpoints primários, de cluster e personalizados.

4. Na caixa de diálogo Configure SSL, selecione o endpoint a ser criptografado e clique em OK.

Etapa 2: Baixar o certificado

Após ativar a criptografia SSL, baixe o certificado do cluster PolarDB para verificar a autenticidade do banco de dados quando um cliente se conectar remotamente ao cluster PolarDB.

1. Na aba SSL Settings, clique em Download na seção correspondente ao endpoint desejado.

2. O arquivo baixado é um pacote compactado que contém os três arquivos a seguir:

   • Arquivo .p7b: Destinado à importação do certificado CA no Windows.

   • Arquivo .pem: Utilizado para importar o certificado CA em outros sistemas ou aplicações.

   • Arquivo .jks: Arquivo de certificado truststore Java, com a senha apsaradb, usado para importar a cadeia de certificados CA em aplicações Java.

     Nota

     Ao usar o arquivo de certificado JKS em Java, modifique a configuração de segurança padrão para JDK 7 e JDK 8. No servidor que se conecta ao banco de dados PolarDB, edite o arquivo jre/lib/security/java.security e altere as duas configurações a seguir:

     jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
     jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

     Se você não modificar as configurações de segurança do JDK, poderá ocorrer um erro semelhante ao seguinte. Este e outros erros relacionados são geralmente causados por configurações de segurança Java incorretas.

     javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

Etapa 3: Conectar-se ao PolarDB a partir de um cliente

Depois de ativar a criptografia SSL, a existência de criptografia na conexão entre um cliente e o cluster PolarDB depende do tipo e das configurações do cliente. Por exemplo, alguns clientes podem usar conexões criptografadas por padrão. Modifique as configurações ou o código do cliente para estabelecer uma conexão criptografada e verificar a identidade do cluster PolarDB.

mysql -h {endpoint} -u {username} -p --ssl-mode=PREFERRED

mysql -h {endpoint} -u {username} -p --ssl-mode=VERIFY_CA --ssl-ca={CA certificate path}/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.example.ssltest;
import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
public class Main {
    public static void main(String[] args) {
       Connection conn = null;
        MysqlDataSource mysqlDS=null;
        try{
            mysqlDS = new MysqlDataSource();
            // Set SslMode as needed. For options, see the command-line connection instructions.
            mysqlDS.setSslMode("VERIFY_IDENTITY");
            // The truststore contains the CA certificate. Set the truststore type to JKS.
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // Replace the path after file:/ with the path to your ApsaraDB-CA-Chain.jks file.
            mysqlDS.setTrustCertificateKeyStoreUrl("file://{CA certificate path}/ApsaraDB-CA-Chain.jks");
            // The password for the downloaded JKS file is apsaradb and cannot be changed.
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
            // Your database endpoint
            mysqlDS.setServerName("your_polardb_host");
            // Your database port
            mysqlDS.setPort(3306);
            // Your database username
            mysqlDS.setUser("your_username");
            // Your database password
            mysqlDS.setPassword("your_password");
            // Your database name
            mysqlDS.setDatabaseName("your_database");
            System.out.println("Attempting to connect to the database...");
            conn = mysqlDS.getConnection();
            System.out.println("Database connection successful!");
            // Use try-with-resources to ensure Statement and ResultSet are automatically closed.
            try (Statement stmt = conn.createStatement();
                 ResultSet rs = stmt.executeQuery("SELECT VERSION()")) {
                // Check if the query returned a result.
                if (rs.next()) {
                    // Get the result from the first column and print it.
                    String dbVersion = rs.getString(1);
                    System.out.println("Database version: " + dbVersion);
                } else {
                    System.out.println("Failed to retrieve database version information.");
                }
            }
        }catch(Exception e){
            e.printStackTrace();
        } finally {
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

# Install pymysql
# pip install pymysql
import pymysql
# --- Configure your database information ---
db_config = {
    'host': 'your_polardb_host',          # Your cluster endpoint
    'user': 'your_username',            # Your username
    'password': 'your_password',        # Your password
    'database': 'your_database',        # The database you want to connect to
    'port': 3306
}
# --- Configure SSL information ---
ssl_args = {
    'ca': '{CA certificate path}/ApsaraDB-CA-Chain.pem',
    'mode': 'VERIFY_CA'
}
try:
    # Establish a connection, passing ssl parameters
    print("Attempting to connect to MySQL with SSL...")
    connection = pymysql.connect(**db_config, ssl=ssl_args)
    print("SSL connection successful!")
    with connection.cursor() as cursor:
        # Execute a simple query to verify the connection
        cursor.execute("SELECT VERSION()")
        version = cursor.fetchone()
        print(f"Database version: {version[0]}")
except pymysql.MySQLError as e:
    # Printing SSL-related errors can be helpful for troubleshooting
    print(f"Connection failed: {e}")
finally:
    if 'connection' in locals() and connection.open:
        connection.close()
        print("Database connection closed.")

Etapa 4: Verificar conexão criptografada

O protocolo SSL possui múltiplas versões. O PolarDB atualmente suporta TLSv1.2 e posteriores. Durante o handshake SSL, o cliente e o servidor PolarDB negociam parâmetros de conexão, incluindo a versão TLS, conjunto de cifras e chave de sessão. Para obter uma lista detalhada de conjuntos de cifras, visite o site oficial do OpenSSL.

1. Conecte-se ao cluster PolarDB usando um cliente configurado para SSL.

2. Execute a seguinte consulta SQL:

   SHOW STATUS LIKE 'ssl_cipher';
   +---------------+---------------------------+
   | Variable_name | Value                     |
   +---------------+---------------------------+
   | Ssl_cipher    | DHE-RSA-AES256-GCM-SHA384 |
   +---------------+---------------------------+

3. Analise o resultado:

   • Se a coluna Value retornar um valor não vazio, como DHE-RSA-AES256-GCM-SHA384, a conexão atual está criptografada.

   • Caso a coluna Value esteja vazia, a conexão atual não está criptografada. Verifique a configuração do seu cliente.

Modificar o endpoint protegido

Para alterar o endpoint protegido por SSL, clique em Configure SSL na seção desse endpoint.

Atualizar o período de validade do certificado

Se você alterar o endpoint SSL ou se o certificado estiver prestes a expirar, será necessário atualizar manualmente o período de validade do certificado.

1. Na aba SSL Settings, clique em Update Validity Period.

2. Na caixa de diálogo exibida, clique em OK.

3. Após a atualização do período de validade, download e configure o novo certificado.

Ativar rotação automática de certificados

Ao ativar a rotação automática de certificados, o PolarDB renova automaticamente o certificado durante a janela de manutenção do cluster, dentro de 10 dias antes do vencimento.

1. Na aba SSL Settings, clique em Advanced Settings.

2. Na caixa de diálogo Advanced Settings, ative a rotação automática de certificados e clique em Confirm.

Desativar criptografia SSL

1. Na aba SSL Settings, desative a chave SSL Status para desabilitar a criptografia SSL.

2. Na caixa de diálogo exibida, clique em OK.