云数据库 RDS：使用自定义证书开启SSL链路加密

步骤一：获取自定义证书

以CentOS系统配置为例，执行如下步骤：

1. 创建自签名证书（server-ca.crt）和自签名证书私钥（server-ca.key）。

   openssl req -new -x509 -days 365 -nodes -out server-ca.crt -keyout server-ca.key -subj "/CN=root-ca"

2. 生成服务器证书请求文件（server.csr）和服务器证书私钥（server.key）。

   MySQL的自定义证书目前仅支持对一个连接地址进行保护。您可以根据需要选择配置生成服务器证书请求文件，请配置如下命令：

   openssl req -new -nodes -text -out server.csr -keyout server.key -subj "/CN=rm-bpxxxxx.mysql.rds.aliyuncs.com"

   说明

   rm-bpxxxxx.mysql.rds.aliyuncs.com仅用于举例，请修改为需要保护的链接地址，查看连接地址请参见查看和管理实例连接地址和端口。

   生成证书请求文件（server.csr）的过程中，会提示配置以下参数，请根据实际情况配置。

   参数	说明	示例
   Country Name	ISO国家代码（两位字符）	CN
   State or Province Name	所在省份	ZheJiang
   Locality Name	所在城市	HangZhou
   Organization Name	公司名称	Alibaba
   Organizational Unit Name	部门名称	Aliyun
   Common Name	申请SSL证书的域名，在openssl.cnf文件中已配置，不需要输入	-
   Email Address	不需要输入	-
   A challenge password	不需要输入	-
   An optional company name	不需要输入	-

3. 生成服务器证书（server.crt）。

   • 如果您需要保护连接地址，请配置如下命令。

     openssl x509 -req -in server.csr -text -days 365 -CA server-ca.crt -CAkey server-ca.key -CAcreateserial  -out server.crt

完成以上步骤的配置后，执行ls命令，查看已生成的文件：

# ls
server-ca.crt  server-ca.key  ca.srl  server.crt  server.csr  server.key

关键文件解释如下：

• server.crt：服务器证书文件。

• server.key：服务器私钥文件。

• server-ca.crt：自签名证书。

• server-ca.key：自签名证书私钥。

步骤二：使用自定义证书开启SSL链路加密

1. 访问RDS实例列表，在上方选择地域，然后单击目标实例ID。

2. 进入数据安全性 > SSL页面。

3. 切换证书来源为使用自定义证书，单击未开通前的开关，填写服务器证书、服务器证书私钥，选择是否开启强制加密后，单击确定，完成配置。

   参数	取值
   服务器证书	此参数填写步骤一：获取自定义证书步骤中获取的server.crt文件内容。请填写-----BEGIN CERTIFICATE-----至-----END CERTIFICATE-----间的内容，包括BEGIN和END部分。
   服务器证书私钥	此参数填写步骤一：获取自定义证书步骤中获取的server.key文件内容。请填写-----BEGIN PRIVATE KEY-----至-----END PRIVATE KEY-----间的内容，包括BEGIN和END部分。
   是否开启强制加密	根据需要，选择开启或关闭。 MySQL 8.4、8.0、5.7版本且内核小版本大于等于20241130的实例支持强制开启SSL。 开启强制SSL加密后，客户端或数据库代理连接RDS MySQL时，只能使用SSL加密连接，非加密连接会被拒绝。

步骤三：客户端连接数据库

RDS MySQL数据库支持通过SSL远程连接，更多信息，请参见SSL连接RDS MySQL数据库。

步骤四：（可选）更新证书

如果您需要更新证书，可以在SSL页面单击更新SSL按钮，填写新的服务器证书和私钥。

步骤五：（可选）关闭SSL链路加密

如果您需要关闭SSL链路加密，可以在SSL页面单击已开通前的按钮。