云原生多模数据库 Lindorm：MySQL 协议 SSL 加密使用指南

前提条件

已开通 Lindorm 宽表引擎。

操作步骤

1. 登录Lindorm管理控制台。

2. 在页面左上角，选择实例所属的地域。

3. 在实例列表页，单击目标实例ID或者目标实例所在行操作列的管理。

4. 在实例详情页左侧导航栏，依次单击宽表引擎 > 数据安全。

5. 在数据链路SSL区域，在当前状态：区域进行开启操作。

6. 等待 SSL 加密服务开通完成。页面显示以下信息时，表示 SSL 加密服务已开启：

   • 当前状态：：已开启

   • SSL证书有效期：：页面展示的证书过期时间，例如 2036-06-13 18:02:25

   • SSL证书有效性：：有效

   • 页面提供下 载 CA 证 书按钮

只要求加密链路

若仅需保障客户端到服务端的链路加密，使用 sslMode=REQUIRED。该模式会启用 TLS 加密，但无需客户端额外配置 CA 根证书。

• MySQL 命令示例

  mysql --ssl-mode=REQUIRED \
    -h <host> \
    -P 33060 \
    -u <user> \
    -p \
    -D <database> \
    --get-server-public-key

  详细使用方式可参见通过MySQL命令行连接并使用宽表引擎。

• JDBC示例

  String url = "jdbc:mysql://<host>:33060/<database>"
      + "?sslMode=REQUIRED"
      + "&allowPublicKeyRetrieval=true";
  Connection connection = DriverManager.getConnection(url, user, password);

  详细使用方式可参见基于Java JDBC接口的应用开发。

严格校验证书链

如果客户端需要确认服务端证书由可信 CA 签发，使用 sslMode=VERIFY_CA，并通过 --ssl-ca 指定控制台下载的 CA 证书。

mysql --ssl-mode=VERIFY_CA \
  --ssl-ca=/path/to/Lindorm-CA.crt \
  -h <host> \
  -P 33060 \
  -u <user> \
  -p \
  -D <database> \
  --get-server-public-key

示例查询：

mysql --ssl-mode=VERIFY_CA \
  --ssl-ca=/path/to/Lindorm-CA.crt \
  -h <host> -P 33060 -u <user> -p -D <database> \
  --get-server-public-key \
  -e "SELECT 1 AS ok"

返回 ok = 1 表示客户端已基于 CA 证书完成 SSL 握手和查询。

VERIFY_IDENTITY 模式说明

VERIFY_IDENTITY 会在 VERIFY_CA 的基础上继续校验连接域名是否匹配服务端证书的 SAN/CN。因此，使用该模式的前提是：客户端连接时使用的 host 必须与证书中声明的域名或 IP 完全一致。

生成 truststore

keytool -importcert \
  -alias lindorm-ca \
  -file /path/to/Lindorm-CA.crt \
  -keystore /path/to/lindorm-ca.p12 \
  -storetype PKCS12 \
  -storepass changeit \
  -noprompt

JDBC URL

String url = "jdbc:mysql://<host>:33060/<database>"
    + "?sslMode=VERIFY_CA"
    + "&allowPublicKeyRetrieval=true"
    + "&trustCertificateKeyStoreUrl=file:/path/to/lindorm-ca.p12"
    + "&trustCertificateKeyStorePassword=changeit"
    + "&trustCertificateKeyStoreType=PKCS12";
Connection connection = DriverManager.getConnection(url, user, password);

注意：trustCertificateKeyStoreUrl 使用的是 truststore 文件路径，不是直接填写服务端证书路径。控制台下载的 CA 证书可以先导入 PKCS12 或 JKS truststore 后再给 JDBC 使用。