配置客户端CA证书

前提条件

• 已完成快速配置SSL加密或配置自定义证书。
• 已安装OpenSSL工具。
  说明 如果您使用Linux系统，系统会自带OpenSSL工具，无需安装。如果您使用Windows系统，请获取OpenSSL软件包并安装。

注意事项

• 配置客户端CA证书后，已有连接需要断开重连，加密才会生效。
• 配置客户端CA证书、更改客户端CA证书内容、修改客户端证书吊销列表，将会重启您的数据库实例，用时约3分钟左右，请在业务低峰期操作。

步骤一：获取客户端证书

本文以CentOS系统配置为例，如果您使用Windows操作系统，操作步骤中的openssl命令与CentOS系统中的openssl命令配置相同。

1. 生成自签名证书（ca1.crt）和自签名证书私钥（ca1.key）。

   openssl req -new -x509 -days 3650 -nodes -out ca1.crt -keyout ca1.key -subj "/CN=root-ca1"

2. 生成客户端证书请求文件（client.csr）和客户端证书私钥（client.key）。

   openssl req -new -nodes -text -out client.csr -keyout client.key -subj "/CN=<客户端用户名>"

   说明 该命令中-subj参数后的CN取值请配置为客户端访问数据库的用户名。
3. 生成客户端证书（client.crt）。

   openssl x509 -req -in client.csr -text -days 365  -CA ca1.crt -CAkey ca1.key -CAcreateserial  -out client.crt

步骤二：配置客户端CA证书

1. 进入数据安全性>SSL页面。
2. 单击启用客户端CA证书。
   
3. 将自签名证书文件（ca1.crt）内容填写到对话框中。然后单击确定按钮。自签名证书文件（ca1.crt）获取请参见步骤一：获取客户端证书。
   

步骤三：客户端连接数据库

步骤四：（可选）配置证书吊销文件

如果您不再使用某一客户端证书时，可以将客户端证书吊销，数据库将拒绝此客户端登录。

1. 配置文件准备。

   touch /etc/pki/CA/index.txt
   echo 1000 > /etc/pki/CA/crlnumber

   说明

   如果您使用Windows系统，需要按照如下步骤操作：

   1. 在OpenSSL安装目录\bin目录下创建CA文件夹。
   2. 在CA文件夹内创建index.txt文件。
   3. 命令行执行如下命令：

      echo 1000 > <OpenSSL安装目录>\bin\CA\crlnumber

   4. 修改C:\Program Files\Common Files\SSL\目录下中的openssl.cnf文件。

      # 找到[ CA_default ]配置项
      
      dir = "<OpenSSL安装目录>\\bin\\CA"

2. 吊销客户端证书（client.crt）。

   openssl ca -revoke client.crt -cert ca1.crt -keyfile ca1.key

   说明 该命令需要使用到自签名证书（ca1.crt）及自签名证书私钥（ca1.key），请参见步骤一：获取客户端证书。
3. 生成证书吊销文件（client.crl）。

   openssl ca -gencrl -out client.crl -cert ca.crt -keyfile ca.key

4. 进入数据安全性>SSL页面。
5. 单击启用证书吊销文件。
   
6. 将证书吊销文件（client.crl）内容填写到对话框中。
   

步骤五：（可选）更新客户端证书

如果您需要更新证书，可以在SSL页面单击清除客户端CA证书按钮，清除客户端CA后，重新单击启用客户端CA证书。

步骤六：（可选）配置ACL

在配置客户端CA证书后，您可以在RDS PostgreSQL实例中配置ACL控制客户端的访问，此时客户端必须携带客户端证书和私钥并通过客户端对应认证方式的验证才能连接数据库。

单击配置ACL或配置ReplicationACL后的修改，选择不同的客户端连接控制模式。