阿里云RDS数据库设置SSL加密-云淘科技

前提条件

RDS MySQL实例系列和版本如下：

• 高可用系列：8.0、5.7、5.6

• 集群系列：8.0、5.7

说明

• 您可以前往实例基本信息页面查看以上信息。

• 基础系列的RDS实例不支持SSL加密。如需变更至其他产品系列，请参见变更配置。

功能介绍

SSL加密功能可以对RDS MySQL和客户端之间传输的数据进行加密，防止数据被第三方监听、截取和篡改。

开启SSL加密后，客户端连接RDS MySQL时，可以选择进行加密连接或者非加密连接。

开启SSL加密时，RDS MySQL将生成服务器证书以及公私钥。

在加密连接的建立过程中，RDS MySQL会发送服务器证书（包含公钥）给客户端，客户端用收到的公钥加密生成的对称密钥，只有RDS MySQL有私钥能够解密该对称密钥，RDS MySQL和客户端将使用该对称密钥对通信数据进行加密和解密，从而保证通信的机密性。客户端还可以使用CA证书验证收到的服务器证书以确认RDS MySQL身份，防止中间人攻击。

说明

• TLS（Transport Layer Security）是SSL的后继版本，本文统称为SSL。

• RDS MySQL支持的TLS版本为1.0、1.1和1.2。

影响

• 开启SSL加密、关闭SSL加密、更新证书（MySQL 5.6、5.7版本）会重启实例，RDS服务会出现约30秒的闪断，建议在业务低峰期操作，并确保您的应用有自动重连机制，自动重连需要在您的应用侧代码中设置。MySQL 8.0版本更新证书不会重启实例。

• 开启SSL加密后，建立加密连接会显著增加CPU使用率。建议您仅在外网链路有加密需求的时候采用SSL加密，内网链路相对较安全，一般无需对链路加密。

步骤一：为RDS MySQL开启SSL加密

1. 访问RDS实例列表，在上方选择地域，然后单击目标实例ID。

2. 在左侧导航栏单击数据安全性。

3. 在SSL页签下，单击未开通前面的滑块开关。

   说明

   如果没有找到SSL页签，请重新确认本文的前提条件。

4. 在弹出的对话框中选择要开通SSL加密的地址，单击确定，开通SSL加密。

   您可以根据需要，选择加密内网链路或者外网链路，但只可以选择一条链路。

5. 开通SSL加密需要约1分钟，您可以手动刷新页面查看实例状态。

步骤二：下载CA证书

如果不使用CA证书，您也可以通过SSL加密连接RDS MySQL。但建议您下载并使用CA证书，它可以在SSL握手阶段验证收到的服务器证书，以确认RDS MySQL的身份，避免中间人攻击。

1. 访问RDS实例列表，在上方选择地域，然后单击目标实例ID。

2. 在左侧导航栏单击数据安全性。

3. 在SSL页签下，单击下载CA证书。

   下载的文件为压缩包，包含如下三种CA文件：

   • PEM文件：适用于绝大部分场景。

   • JKS文件：PEM格式CA证书通常需要导入到truststore，即转换为JKS文件才能在Java中使用。您可以在Java程序中使用此JKS文件，密码为apsaradb。

   • p7b文件：适用于少数要求PKCS #7证书文件的Windows应用。

步骤三：从客户端连接RDS MySQL

开启SSL加密后，客户端和RDS MySQL之间的连接是否加密与客户端的类型和设置有关。例如，客户端可能默认采用加密连接。您可以修改客户端的设置或代码，要求建立加密连接以及验证RDS MySQL的身份。

mysql -h {RDS连接地址} -u {RDS账号} -p --ssl-mode=PREFERRED

mysql -h {RDS连接地址} -u {RDS账号} -p --ssl-mode=VERIFY_CA --ssl-ca={CA证书路径}/ApsaraDB-CA-Chain.pem

    mysql
    mysql-connector-java
    8.0.19

package com.aliyun.sample;

import com.mysql.cj.jdbc.MysqlDataSource;
import java.sql.Connection;
import java.sql.SQLException;

public class Sample {

    public static void main(String[] args) {

        Connection conn = null;
        MysqlDataSource mysqlDS=null;

        try{
            mysqlDS = new MysqlDataSource();
            //可按需设置SslMode。关于该属性的选项，请参见命令行连接方式的说明。
            mysqlDS.setSslMode("VERIFY_IDENTITY");
          
            //truststore用于存储CA证书，这里设置truststore类型为JKS。
            mysqlDS.setTrustCertificateKeyStoreType("JKS");
            // 请将file:/后面的路径改为您的ApsaraDB-CA-Chain.jks文件的路径。
            mysqlDS.setTrustCertificateKeyStoreUrl("file:/D:\ApsaraDB-CA-Chain\ApsaraDB-CA-Chain.jks");
            // 下载的JKS文件的密码为apsaradb，不能修改。
            mysqlDS.setTrustCertificateKeyStorePassword("apsaradb");
          
            // 您的数据库连接串
            mysqlDS.setServerName("rm-xxxxxx.mysql.rds.aliyuncs.com");
            // 您的数据库端口
            mysqlDS.setPort(3306);
            // 您的数据库账号
            mysqlDS.setUser("xxxxxx");
            // 您的数据库密码
            mysqlDS.setPassword("xxxxxx");
            // 您的数据库名
            mysqlDS.setDatabaseName("xxxxxx");

            conn = mysqlDS.getConnection();

        }catch(Exception e){
            e.printStackTrace();
        } finally {
            try {
                if (conn != null)
                    conn.close();
            } catch (SQLException e) {
                e.printStackTrace();
            }
        }
    }

}

# 安装pymysql    pip install pymysql


import pymysql

try:
    conn = pymysql.connect(host='******.mysql.rds.aliyuncs.com',user='*****',passwd='******',db='*****',ssl=True,
            ssl_ca='/path/to/path/ApsaraDB-CA-Chain.pem')
    cursor = conn.cursor()
    cursor.execute('select version()')
    data = cursor.fetchone()
    print('Database version:', data[0])
    cursor.close()
except pymysql.Error as e:
    print(e)

常见问题

功能咨询

• Q1：如何实现双向验证？即除了验证服务端身份，也验证客户端身份。

  A：RDS MySQL目前不支持在SSL握手时验证客户端身份。您可以通过白名单设置、账号管理来实现访问控制。

• Q2：如何加密读写分离地址？

  A：请参见设置独享代理SSL加密。

故障排查

Java程序连接报错Javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

jdk7和jdk8若不修改jdk安全配置，可能会报此错误，其他类似报错，一般也都由Java安全配置导致。

需要修改默认的jdk安全配置，在应用程序所在主机的jre/lib/security/Java.security文件中，修改如下两项配置：

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

Java程序连接报错javax.net.ssl.SSLHandshakeException: No appropriate protocol (protocol is disabled or cipher suites are inappropriate)

Connector/J 8.0.18或更早版本连接到MySQL 5.6或5.7时，因为兼容性原因禁用了TLS 1.2和更高版本。您可以通过以下任一方式解决该问题。

• 使用Connector/J 8.0.19或更高的版本。

• 升级至RDS MySQL 8.0版本。

• 在代码中指定TLS版本，例如指定enabledTLSProtocols或tlsVersions属性值为TLSv1.2。

相关API

• DescribeDBInstanceSSL – 查询RDS实例的SSL配置

• ModifyDBInstanceSSL – 修改RDS实例的SSL配置