ApsaraDB RDS:Ativar a criptografia SSL com um certificado cloud

Informações básicas

O SSL é um protocolo desenvolvido para garantir comunicações seguras e proteger dados. A partir da versão 3.0, o SSL passou a se chamar TLS.

Pré-requisitos

• A instância RDS deve executar o PostgreSQL 10 ou posterior e usar discos cloud.

  Nota

  Não há suporte para instâncias RDS Serverless.

• Antes de começar, baixe o cliente pgAdmin 4. Para mais informações, consulte pgAdmin 4.

Observações de uso

• Um certificado cloud tem validade de um ano. Antes do vencimento, a Alibaba Cloud envia lembretes de renovação por meio de e-mails e mensagens internas no Event Center, além de renovar automaticamente o certificado dentro de um período específico. Para personalizar o horário de renovação do certificado, configure o Schedule Event. Para mais informações, consulte Scheduled events.

• Após a renovação automática de um certificado cloud no vencimento, os programas cliente que utilizam conexões criptografadas não precisam baixar ou reconfigurar o certificado CA.

• Ao ativar a criptografia SSL, a utilização da CPU e as latências de leitura e gravação aumentam.

• Após ativar a criptografia SSL, feche a conexão existente e estabeleça uma nova para que a criptografia entre em vigor.

• Ao configurar um certificado cloud, alterar o endpoint protegido pelo certificado cloud configurado ou desativar a criptografia SSL, a instância RDS reinicia. Podem ocorrer desconexões transitórias de alguns minutos durante a reinicialização. Recomendamos executar essas operações fora dos horários de pico.

Etapa 1: Use um certificado cloud e ative a criptografia SSL

Este tópico utiliza certificados cloud para descrever a configuração da criptografia SSL.

1. Inicialmente, acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, encontre a instância RDS e clique em ID da instância.

2. No painel de navegação à esquerda, escolha Data Security > SSL.

   Nota

   Caso não visualize a aba SSL no console, verifique se a sua instância do ApsaraDB RDS for PostgreSQL atende aos requisitos de versão e tipo de armazenamento. Para mais informações, consulte Prerequisites.

3. Em Certificate Source, selecione Cloud Certificate e clique em Configuration ao lado de Configure Database Certificate (to Prevent Database Disguise) e, em seguida, selecione o endpoint que deseja proteger.

   Nota

   • Caso não tenha ativado um endpoint público, a caixa de diálogo Select Protected Endpoint exibe apenas o endpoint interno da instância do ApsaraDB RDS for PostgreSQL. Se tiver ativado um endpoint público, a caixa de diálogo exibe os endpoints interno e público. Um certificado cloud protege apenas um endpoint. Como as conexões internas são relativamente seguras, recomendamos proteger o endpoint público. Para visualizar os endpoints internos e públicos, consulte View and change the internal and public endpoints and port numbers of an ApsaraDB RDS for PostgreSQL instance.

   • Para mais informações sobre como proteger o endpoint interno e o endpoint público ao mesmo tempo, consulte Use a custom certificate to enable the SSL encryption feature.

   • Após a configuração do certificado cloud, o Status da instância muda para Modifying SSL Settings. Esse processo leva cerca de três minutos. Aguarde até que o status mude para Running antes de prosseguir.

Etapa 2: Baixe o certificado CA do servidor

Após a configuração do certificado cloud, baixe e salve o certificado CA do servidor (banco de dados) no seu cliente. Ao conectar-se à instância RDS a partir do cliente, use o certificado CA do servidor (banco de dados) para autenticar a instância RDS.

1. Em Certificate Source, selecione Cloud Certificate e clique em Download CA Certificate.

2. Descompacte o arquivo baixado.

   O arquivo baixado é um pacote com os seguintes arquivos:

   • Arquivo PEM: adequado para a maioria dos cenários.

   • Arquivo JKS: na maioria dos casos, é necessário importar o arquivo de certificado da autoridade certificadora (CA) no formato PEM para um truststore e convertê-lo em um arquivo JKS, usado em aplicações Java. A senha é apsaradb.

   • Arquivo P7B: adequado para aplicações Windows específicas que exigem arquivos de certificado no formato PKCS#7.

Etapa 3: Conecte-se à instância RDS a partir do cliente de banco de dados

Este exemplo usa o pgAdmin para descrever como se conectar à instância RDS via SSL.

Há vários métodos para se conectar a uma instância RDS, como o cliente de linha de comando psql e o Java Database Connectivity (JDBC). Para mais informações, consulte Connect to an ApsaraDB RDS for PostgreSQL instance over SSL connections.

1. Inicie o pgAdmin 4.

   Nota

   Se for o seu primeiro acesso a uma versão mais recente do pgAdmin, especifique uma senha mestra para proteger as senhas salvas e outras credenciais.

2. Em seguida, clique com o botão direito em Servers e escolha Register > Server.

   

3. Na aba General da caixa de diálogo Register - Server, insira o nome do servidor no qual o pgAdmin está instalado.

4. Na aba Connection, configure as opções de Connection inserindo os seguintes parâmetros da sua instância.

   Parâmetro	Descrição
   Host name/address	O endpoint e a porta usados para conectar-se à instância RDS. Para conectar-se à instância RDS por uma rede interna, insira o endpoint interno e a porta interna da instância RDS. Para conectar-se à instância RDS pela Internet, insira o endpoint público e a porta pública da instância RDS. Visualize essas informações na página Database Connection da instância RDS. Para mais informações, consulte View and change the endpoints and port numbers of an ApsaraDB RDS for PostgreSQL instance.
   Port
   Username	O nome de usuário e a senha usados para fazer login na instância RDS. Para mais informações sobre como criar uma conta em uma instância RDS, consulte Create an account and a database.
   Password

5. Selecione a aba Parameters e, em seguida, adicione e configure os parâmetros de autenticação SSL.

   Parâmetro	Descrição
   SSL mode	Por motivos de segurança, defina este parâmetro como Require, Verify-CA ou Verify-Full. A lista a seguir descreve os significados dos diferentes valores do parâmetro SSL mode: Require: o cliente de banco de dados criptografa as conexões SSL usadas na transmissão de dados. No entanto, o cliente não valida a instância RDS. Verify-CA: o cliente de banco de dados criptografa as conexões SSL usadas na transmissão de dados e valida a instância RDS. Verify-Full: criptografa a conexão de dados, verifica a identidade do servidor e confere se o Common Name (CN) ou o nome DNS no certificado do servidor corresponde ao Host name/address fornecido para a conexão.
   Root certificate	Este parâmetro é obrigatório se você definir o SSL mode como Verify-CA ou Verify-Full. Especifica o caminho para o arquivo de certificado raiz da CA. Nota Neste exemplo, extraímos o certificado CA baixado na aba SSL para D:\CA\aliyunCA\. Você pode extrair o certificado para qualquer diretório local. No pgAdmin, o arquivo do certificado CA do servidor está no formato PEM.

6. Clique em Save.

   Se as informações inseridas estiverem corretas, o console exibirá a página mostrada na figura a seguir, indicando que a conexão com a instância RDS foi bem-sucedida.

   Importante

   O banco de dados postgres é o banco de dados padrão do sistema. Não execute operações no banco de dados postgres.