Lindorm：MySQL 協議 SSL 加密使用指南

前提條件

已開通 Lindorm 寬表引擎。

操作步驟

1. 登入Lindorm管理主控台。

2. 在頁面左上方，選擇執行個體所屬的地區。

3. 在实例列表頁，單擊目標執行個體ID或者目標執行個體所在行操作列的管理。

4. 在執行個體詳情頁左側導覽列，依次單擊宽表引擎 > 数据安全。

5. 在数据链路SSL地區，在当前状态：地區進行開啟操作。

6. 等待 SSL Data Encryption Service開通完成。頁面顯示以下資訊時，表示 SSL Data Encryption Service已開啟：

   • 当前状态：：已开启

   • SSL证书有效期：：頁面展示的認證到期時間，例如 2036-06-13 18:02:25

   • SSL证书有效性：：有效

   • 頁面提供下 载 CA 证 书按鈕

只要求加密鏈路

若僅需保障用戶端到服務端的鏈路加密，使用 sslMode=REQUIRED。該模式會啟用 TLS 加密，但無需用戶端額外配置 CA 根憑證。

• MySQL 命令樣本

  mysql --ssl-mode=REQUIRED \
    -h <host> \
    -P 33060 \
    -u <user> \
    -p \
    -D <database> \
    --get-server-public-key

  詳細使用方式可參見通過MySQL命令列串連並使用寬表引擎。

• JDBC樣本

  String url = "jdbc:mysql://<host>:33060/<database>"
      + "?sslMode=REQUIRED"
      + "&allowPublicKeyRetrieval=true";
  Connection connection = DriverManager.getConnection(url, user, password);

  詳細使用方式可參見基於Java JDBC介面的應用開發。

嚴格校正憑證鏈結

如果用戶端需要確認服務端認證由可信 CA 簽發，使用 sslMode=VERIFY_CA，並通過 --ssl-ca 指定控制台下載的 CA 憑證。

mysql --ssl-mode=VERIFY_CA \
  --ssl-ca=/path/to/Lindorm-CA.crt \
  -h <host> \
  -P 33060 \
  -u <user> \
  -p \
  -D <database> \
  --get-server-public-key

樣本查詢：

mysql --ssl-mode=VERIFY_CA \
  --ssl-ca=/path/to/Lindorm-CA.crt \
  -h <host> -P 33060 -u <user> -p -D <database> \
  --get-server-public-key \
  -e "SELECT 1 AS ok"

返回 ok = 1 表示用戶端已基於 CA 憑證完成 SSL 握手和查詢。

VERIFY_IDENTITY 模式說明

VERIFY_IDENTITY 會在 VERIFY_CA 的基礎上繼續校正串連網域名稱是否匹配服務端認證的 SAN/CN。因此，使用該模式的前提是：用戶端串連時使用的 host 必須與認證中聲明的網域名稱或 IP 完全一致。

產生 truststore

keytool -importcert \
  -alias lindorm-ca \
  -file /path/to/Lindorm-CA.crt \
  -keystore /path/to/lindorm-ca.p12 \
  -storetype PKCS12 \
  -storepass changeit \
  -noprompt

JDBC URL

String url = "jdbc:mysql://<host>:33060/<database>"
    + "?sslMode=VERIFY_CA"
    + "&allowPublicKeyRetrieval=true"
    + "&trustCertificateKeyStoreUrl=file:/path/to/lindorm-ca.p12"
    + "&trustCertificateKeyStorePassword=changeit"
    + "&trustCertificateKeyStoreType=PKCS12";
Connection connection = DriverManager.getConnection(url, user, password);

注意：trustCertificateKeyStoreUrl 使用的是 truststore 檔案路徑，不是直接填寫服務端憑證路徑。控制台下載的 CA 憑證可以先匯入 PKCS12 或 JKS truststore 後再給 JDBC 使用。