阿里云RDS数据库快速配置SSL加密-云淘科技

背景信息

SSL（Secure Sockets Layer）指安全套接字协议，是为了安全通信、数据安全性专门设计的安全协议，SSL 3.0之后更名为TLS（Transport Layer Security）。本文以配置云端证书为例，指导您快速配置SSL链路加密。

说明

RDS PostgreSQL支持的TLS版本为1.0、1.1和1.2。

RDS PostgreSQL实例支持的SSL链路加密配置及功能对比如下：

说明

• 配置云端证书或自定义证书为必选配置，用于开启SSL链路加密。

• 配置客户端CA证书为可选配置，用于服务端验证客户端真伪。

前提条件

• 实例为RDS PostgreSQL 10或以上的云盘版本。

• 已下载pgAdmin 4客户端。

注意事项

• SSL的证书有效期为1年，即将到期时，阿里云将会通过短信、邮件、站内信（事件中心）的方式进行提醒，并会在特定时间段自动更新该证书。您可以通过配置计划时间配置自定义证书更新时间。更多信息，请参见计划内事件。

• 开启SSL链路加密后，会造成CPU使用率上升、读写时延增长。

• 开启SSL链路加密后，已有连接需要断开重连，加密才会生效。

• 开启云端证书、更改云端证书保护的连接地址或关闭SSL链路加密，将会重启您的数据库实例，用时约3分钟左右，请在业务低峰期操作。

步骤一：使用云端证书开启SSL链路加密

1. 访问RDS实例列表，在上方选择地域，然后单击目标实例ID。

2. 进入数据安全性>SSL页面。

   说明

   如果您在控制台中未看到SSL页面，请检查您的RDS PostgreSQL实例版本及存储类型，具体详见前提条件。

3. 切换证书来源为使用云端证书，单击配置数据库证书（防止伪装数据库）后的配置按钮，选择需要保护的连接地址。

   说明

   • 如果您未开启外网地址，请选择需要保护的连接串对话框中将会显示RDS PostgreSQL实例的内网连接地址。如果您开启了外网地址，将会同时显示内网和外网两个连接地址。但云端证书只能对一个连接地址进行保护，内网连接相对安全，推荐您对外网连接地址进行保护。查看内网和外网地址请参见查看内外网地址。

   • 如果您需要同时对内网和外网连接地址进行保护，请参见配置自定义证书。

   • 配置云端证书后，实例的运行状态将会变更为修改SSL中，该状态将持续三分钟左右，请耐心等待运行状态变更为运行中后再进行后续操作。

步骤二：下载CA证书

开启云端证书后，RDS PostgreSQL数据库提供数据库CA证书供您下载，当您通过客户端远程连接RDS PostgreSQL数据库时，使用数据库CA证书可以对数据库真伪进行校验。

1. 切换证书来源为使用云端证书，单击下载CA证书。

   

2. 解压下载的CA证书。

   下载的文件为压缩包，包含如下三个文件：

   • PEM文件：适用于绝大部分场景。

   • JKS文件：PEM格式CA证书通常需要导入到truststore，即转换为JKS文件才能在Java中使用。您可以在Java程序中使用此JKS文件，密码为apsaradb。

   • p7b文件：适用于少数要求PKCS #7证书文件的Windows应用。

步骤三：客户端连接数据库

本连接示例中以pgAdmin客户端通过SSL连接RDS PostgreSQL数据库为例。

RDS PostgreSQL数据库还支持psql命令行终端和JDBC等多种方式SSL远程连接，更多信息，请参见SSL连接RDS PostgreSQL数据库。

说明

• 连接数据库前，请确保已在RDS PostgreSQL实例中配置白名单和用户。具体操作，请参见设置白名单和创建账号和数据库。

• 下文以pgAdmin 4 V6.2.0为例，如果文档截图与您的客户端存在差异，请参见官方文档配置与示例中相同的SSL链路相关参数即可。

1. 启动pgAdmin 4客户端。

   说明

   高版本客户端首次登录需要设置Master Password用于保护保存的密码和其他凭据。

2. 右键单击Servers，选择Register > Server…。

   

3. 在General页签设置连接名称。

4. 选择Connection标签页，输入要连接的实例信息。

   参数	说明
   Host name/address	RDS PostgreSQL实例的连接地址及对应的端口。 若通过内网连接，需输入RDS实例的内网地址和内网端口。 若使用外网连接，需输入RDS实例的外网地址和外网端口。 您可以在RDS PostgreSQL实例的数据库连接页面查看。 更多信息，请参见查看或修改连接地址和端口。
   Port
   Username	RDS PostgreSQL实例的账号和密码。 创建RDS实例的账号请参见创建账号和数据库。
   Password

5. 选择Parameters标签页，添加SSL认证方式相关参数并配置证书。

   参数	说明
   SSL mode	为了使用SSL安全连接，请配置Require、Verify-CA或Verify-Full连接方式，参数含义如下： Require：只对数据链路加密，并不验证数据库服务器的真实性。 Verify-CA：加密数据链路，同时验证数据库的真实性。 Verify-Full：加密数据链路，验证数据库的真实性，同时比对证书内的CN或DNS与连接时配置的Host name/address的一致性。
   Root certificate	当SSL mode取值为Verify-CA或Verify-Full时，需要配置此参数，表示数据库CA证书路径。 说明 本示例中，从SSL页面下载的CA证书解压路径为D:\CA\aliyunCA\，您可以将证书解压到您本地的任意位置。 pgAdmin客户端中使用的数据库CA证书为PEM文件。

6. 单击Save。

   若连接信息无误，会出现如下界面，则表示连接成功。

   重要

   postgres是RDS实例默认的系统数据库，请勿在该数据库中进行任何操作。