ApsaraDB RDS:Configure a custom certificate

Endpoint único

Execute os três comandos a seguir em sequência:

# 1. Create a self-signed CA certificate and its private key
openssl req -new -x509 -days 365 -nodes -out server-ca.crt -keyout server-ca.key -subj "/CN=root-server-ca"

# 2. Create a certificate signing request (CSR) and private key for the server certificate
#    Replace the CN value with the endpoint you want to protect
openssl req -new -nodes -text -out server.csr -keyout server.key -subj "/CN=pgm-bpxxxxx.pg.rds.aliyuncs.com"

# 3. Sign the CSR with the CA to produce the server certificate
openssl x509 -req -in server.csr -text -days 365 -CA server-ca.crt -CAkey server-ca.key -CAcreateserial -out server.crt

Para encontrar o endpoint a ser usado no valor CN, consulte Visualizar e alterar os endpoints e números de porta de uma instância do ApsaraDB RDS for PostgreSQL.

Múltiplos endpoints (Nomes Alternativos do Assunto)

Para proteger vários endpoints, inclua-os como Nomes Alternativos do Assunto (SANs) no certificado.

# 1. Create a self-signed CA certificate and its private key
openssl req -new -x509 -days 365 -nodes -out server-ca.crt -keyout server-ca.key -subj "/CN=root-server-ca"

# 2. Copy the default OpenSSL config to a temp file
cp /etc/pki/tls/openssl.cnf /tmp/openssl.cnf

No Windows, o openssl.cnf está no diretório \bin\cnf dentro da pasta de instalação do OpenSSL. Copie-o para qualquer diretório de sua preferência.

Abra o /tmp/openssl.cnf em um editor de texto e adicione o seguinte conteúdo:

# Add to the end of the [ req ] section
req_extensions = v3_req

# Add a new [ v3_req ] section
[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

# Add a new [ alt_names ] section — list each endpoint as a DNS entry
[ alt_names ]
DNS.1 = pgm-bpxxxxx.pg.rds.aliyuncs.com
DNS.2 = pgm-bpyyyyy.pg.rds.aliyuncs.com

Em seguida, gere o CSR e o certificado do servidor:

# 3. Create a CSR and server private key using the updated config
openssl req -new -nodes -text -out server.csr -keyout server.key -config /tmp/openssl.cnf

# 4. Sign the CSR with the CA, including the SAN extensions
openssl x509 -req -in server.csr -text -days 365 -CA server-ca.crt -CAkey server-ca.key -CAcreateserial -out server.crt -extensions v3_req -extfile /tmp/openssl.cnf

Ao executar a etapa 3, o OpenSSL solicitará os parâmetros do CSR. A tabela a seguir descreve cada campo.

Verificar a saída

Após a conclusão dos comandos, execute ls para confirmar se todos os arquivos necessários estão presentes:

server-ca.crt  server-ca.key  ca.srl  server.crt  server.csr  server.key

A tabela a seguir descreve cada arquivo e sua função no SSL:

Por que recebo o erro "The certificate address does not contain the instance connection string"?

O CN (Nome Comum) ou SAN (Nome Alternativo do Assunto) do certificado não contém o endpoint da instância RDS. Certificados curinga (por exemplo, *.example.com) não são suportados.

Para resolver esse problema, regenere o certificado e defina o valor CN ou uma entrada SAN como o endpoint completo da instância RDS (por exemplo, pgm-xxx.pg.rds.aliyuncs.com). Para obter informações sobre como visualizar o endpoint, consulte Visualizar e alterar os endpoints e números de porta de uma instância do ApsaraDB RDS for PostgreSQL.

Por que a configuração do SSL falha com um erro de chave privada?

A chave privada foi gerada com criptografia por senha. Chaves privadas criptografadas por senha não são suportadas.

Para resolver esse problema, regenere a chave privada sem criptografia por senha. Use a flag -nodes no comando openssl req, conforme mostrado na Etapa 1. O arquivo de chave privada deve começar com -----BEGIN PRIVATE KEY-----.

Por que recebo um erro de formato de certificado ao fazer o upload do certificado?

O arquivo de certificado pode não estar no formato PEM ou pode conter conteúdo extra.

Para resolver esse problema, certifique-se de fazer o upload de um arquivo de certificado no formato PEM. O conteúdo deve começar com -----BEGIN CERTIFICATE----- e terminar com -----END CERTIFICATE-----, sem texto extra fora dessas linhas.