PolarDB:Configure SSL encryption

1. Adım: SSL şifrelemeyi etkinleştirin

1. PolarDB konsoluna giriş yapın. Sol gezinme bölmesinde Clusters öğesine tıklayın. Kümenizin bulunduğu bölgeyi seçin ve ardından küme kimliğine tıklayın.

2. Sol gezinme bölmesinde Settings and Management > Security seçeneğini belirleyin.

3. SSL Settings sekmesinde, SSL şifrelemeyi etkinleştirmek için SSL Status anahtarını açın.

   Not

   Birincil, küme ve özel uç noktalar için SSL yapılandırabilirsiniz.

4. Configure SSL iletişim kutusunda şifrelenecek uç noktayı seçin ve ardından OK öğesine tıklayın.

2. Adım: Sertifikayı indirin

SSL şifrelemeyi etkinleştirdikten sonra, bir istemci PolarDB kümesine uzaktan bağlandığında veritabanının kimliğini doğrulamak için PolarDB kümesinin sertifikasını indirebilirsiniz.

1. SSL Settings sekmesinde, istediğiniz uç noktanın bölümünde Download öğesine tıklayın.

2. İndirilen dosya, aşağıdaki üç dosyayı içeren sıkıştırılmış bir pakettir:

   • .p7b dosyası: Windows'ta CA sertifikasını içe aktarmak için kullanılır.

   • .pem dosyası: Diğer sistemlerde veya uygulamalarda CA sertifikasını içe aktarmak için kullanılır.

   • .jks dosyası: CA sertifika zincirini Java uygulamalarına içe aktarmak için kullanılan, parolası apsaradb olan bir Java truststore sertifika dosyasıdır.

     Not

     Java'da JKS sertifika dosyasını kullanırken JDK 7 ve JDK 8 için varsayılan güvenlik yapılandırmasını değiştirmeniz gerekir. PolarDB veritabanına bağlanan sunucuda jre/lib/security/java.security dosyasını düzenleyin ve aşağıdaki iki ayarı değiştirin:

     jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
     jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

     JDK güvenlik ayarlarını değiştirmezseniz aşağıdakine benzer bir hata oluşabilir. Bu ve diğer ilgili hatalar genellikle yanlış Java güvenlik ayarlarından kaynaklanır.

     javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

3. Adım: Bir istemciden PolarDB'ye bağlanın

SSL şifrelemeyi etkinleştirdikten sonra, bir istemci ile PolarDB kümesi arasındaki bir bağlantının şifrelenip şifrelenmediği istemcinin türüne ve ayarlarına bağlıdır. Örneğin, bazı istemciler varsayılan olarak şifrelenmiş bağlantılar kullanabilir. Şifrelenmiş bir bağlantı kurmak ve PolarDB kümesinin kimliğini doğrulamak için istemcinin ayarlarını veya kodunu değiştirebilirsiniz.

mysql -h {endpoint} -u {username} -p --ssl-mode=PREFERRED

mysql -h {endpoint} -u {username} -p --ssl-mode=VERIFY_CA --ssl-ca={CA certificate path}/ApsaraDB-CA-Chain.pem

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.19</version>
</dependency>

package com.example.ssltest;
import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;
public class Main {
    public static void main(String[] args) {
       Connection conn = null;
        MysqlDataSource mysqlDS=null;
        try{
            mysqlDS = new MysqlDataSource();
            // Set SslMode as needed. For options, see the command-line connection instructions.
            mysqlDS.setSslMode("VERIFY_IDENTITY");
            // The truststore contains the CA certificate. Set the truststore type to JKS.
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // Replace the path after file:/ with the path to your ApsaraDB-CA-Chain.jks file.
            mysqlDS.setTrustCertificateKeyStoreUrl("file://{CA certificate path}/ApsaraDB-CA-Chain.jks");
            // The password for the downloaded JKS file is apsaradb and cannot be changed.
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
            // Your database endpoint
            mysqlDS.setServerName("your_polardb_host");
            // Your database port
            mysqlDS.setPort(3306);
            // Your database username
            mysqlDS.setUser("your_username");
            // Your database password
            mysqlDS.setPassword("your_password");
            // Your database name
            mysqlDS.setDatabaseName("your_database");
            System.out.println("Attempting to connect to the database...");
            conn = mysqlDS.getConnection();
            System.out.println("Database connection successful!");
            // Use try-with-resources to ensure Statement and ResultSet are automatically closed.
            try (Statement stmt = conn.createStatement();
                 ResultSet rs = stmt.executeQuery("SELECT VERSION()")) {
                // Check if the query returned a result.
                if (rs.next()) {
                    // Get the result from the first column and print it.
                    String dbVersion = rs.getString(1);
                    System.out.println("Database version: " + dbVersion);
                } else {
                    System.out.println("Failed to retrieve database version information.");
                }
            }
        }catch(Exception e){
            e.printStackTrace();
        } finally {
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }
}

# Install pymysql
# pip install pymysql
import pymysql
# --- Configure your database information ---
db_config = {
    'host': 'your_polardb_host',          # Your cluster endpoint
    'user': 'your_username',            # Your username
    'password': 'your_password',        # Your password
    'database': 'your_database',        # The database you want to connect to
    'port': 3306
}
# --- Configure SSL information ---
ssl_args = {
    'ca': '{CA certificate path}/ApsaraDB-CA-Chain.pem',
    'mode': 'VERIFY_CA'
}
try:
    # Establish a connection, passing ssl parameters
    print("Attempting to connect to MySQL with SSL...")
    connection = pymysql.connect(**db_config, ssl=ssl_args)
    print("SSL connection successful!")
    with connection.cursor() as cursor:
        # Execute a simple query to verify the connection
        cursor.execute("SELECT VERSION()")
        version = cursor.fetchone()
        print(f"Database version: {version[0]}")
except pymysql.MySQLError as e:
    # Printing SSL-related errors can be helpful for troubleshooting
    print(f"Connection failed: {e}")
finally:
    if 'connection' in locals() and connection.open:
        connection.close()
        print("Database connection closed.")

4. Adım: Şifrelenmiş bağlantıyı doğrulayın

SSL protokolünün birden çok sürümü vardır. PolarDB şu anda TLSv1.2 ve sonraki sürümleri destekler. SSL el sıkışması sırasında istemci ve PolarDB sunucusu, TLS sürümü, şifre paketi ve oturum anahtarı dahil olmak üzere bağlantı parametrelerini müzakere eder. Şifre paketlerinin ayrıntılı listesi için OpenSSL resmi web sitesini ziyaret edin.

1. SSL için yapılandırılmış bir istemci kullanarak PolarDB kümesine bağlanın.

2. Aşağıdaki SQL sorgusunu yürütün:

   SHOW STATUS LIKE 'ssl_cipher';
   +---------------+---------------------------+
   | Variable_name | Value                     |
   +---------------+---------------------------+
   | Ssl_cipher    | DHE-RSA-AES256-GCM-SHA384 |
   +---------------+---------------------------+

3. Sonucu analiz edin:

   • Value sütunu DHE-RSA-AES256-GCM-SHA384 gibi boş olmayan bir değer döndürürse mevcut bağlantı şifrelenir.

   • Value sütunu boşsa mevcut bağlantı şifrelenmez. İstemci yapılandırmanızı kontrol edin.

Korunan uç noktayı değiştirin

SSL tarafından korunan uç noktayı değiştirmek için o uç noktanın bölümünde Configure SSL öğesine tıklayın.

Sertifika geçerlilik süresini güncelleyin

SSL uç noktasını değiştirirseniz veya sertifikanın süresi dolmak üzereyse sertifikanın geçerlilik süresini manuel olarak güncellemeniz gerekir.

1. SSL Settings sekmesinde Update Validity Period öğesine tıklayın.

2. Görüntülenen iletişim kutusunda OK öğesine tıklayın.

3. Geçerlilik süresi güncellendikten sonra yeni sertifikayı indirin ve yapılandırın.

Otomatik sertifika rotasyonunu etkinleştirin

Otomatik sertifika rotasyonunu etkinleştirirseniz PolarDB süresinin dolmasına 10 gün kala kümenin bakım penceresi sırasında sertifikayı otomatik olarak yeniler.

1. SSL Settings sekmesinde Advanced Settings öğesine tıklayın.

2. Advanced Settings iletişim kutusunda otomatik sertifika rotasyonunu etkinleştirin ve Confirm öğesine tıklayın.

SSL şifrelemeyi devre dışı bırakın

1. SSL Settings sekmesinde SSL şifrelemeyi devre dışı bırakmak için SSL Status anahtarını kapatın.

2. Görüntülenen iletişim kutusunda OK öğesine tıklayın.