Memperbarui aplikasi untuk terhubung ke instance MariaDB menggunakan sertifikat/baru SSL TLS - Layanan Basis Data Relasional Amazon

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Memperbarui aplikasi untuk terhubung ke instance MariaDB menggunakan sertifikat/baru SSL TLS

Mulai 13 Januari 2023, Amazon RDS telah menerbitkan sertifikat Certificate Authority (CA) baru untuk menghubungkan ke instans RDS DB Anda menggunakan Secure Socket Layer atau Transport Layer Security (SSL/TLS). Setelah itu, Anda dapat menemukan informasi tentang pembaruan aplikasi untuk menggunakan sertifikat baru.

Topik ini dapat membantu menentukan apakah aplikasi Anda memerlukan verifikasi sertifikat untuk terhubung ke instans DB Anda.

catatan

Beberapa aplikasi dikonfigurasi untuk terhubung ke MariaDB hanya jika aplikasi tersebut berhasil memverifikasi sertifikat pada server. Untuk aplikasi tersebut, Anda harus memperbarui penyimpanan kepercayaan aplikasi klien untuk menyertakan sertifikat CA baru.

Anda dapat menentukan SSL mode berikut:disabled,preferred, danrequired. Bila Anda menggunakan preferred SSL mode dan sertifikat CA tidak ada atau tidak up to date, koneksi kembali ke tidak menggunakan SSL dan masih berhasil terhubung.

Sebaiknya hindari mode preferred. Dalam mode preferred, jika koneksi menghadapi sertifikat yang tidak valid, koneksi berhenti menggunakan enkripsi dan melanjutkan tanpa enkripsi.

Setelah Anda memperbarui sertifikat CA di penyimpanan kepercayaan aplikasi klien, Anda dapat merotasi sertifikat di instans DB Anda. Sebaiknya Anda menguji prosedur ini di lingkungan pengembangan dan pementasan sebelum menerapkannya di lingkungan produksi Anda.

Untuk informasi selengkapnya tentang rotasi sertifikat, lihat Memutar sertifikat SSL TLS /Anda. Untuk informasi selengkapnya tentang mengunduh sertifikat, lihat . Untuk informasi tentang menggunakanSSL/TLSdengan instance MariaDB DB, lihat. SSL/TLSdukungan untuk instance MariaDB DB di Amazon RDS

Menentukan apakah klien memerlukan verifikasi sertifikat agar dapat terhubung

Anda dapat memeriksa apakah JDBC klien dan SQL klien Saya memerlukan verifikasi sertifikat untuk terhubung.

JDBC

Contoh berikut dengan My SQL Connector/J 8.0 menunjukkan salah satu cara untuk memeriksa properti koneksi aplikasi untuk menentukan apakah JDBC koneksi yang berhasil memerlukan sertifikat yang valid. Untuk informasi selengkapnya tentang semua opsi JDBC koneksi untuk MySQL, lihat Properti konfigurasi di SQL dokumentasi Saya.

Saat menggunakan SQL Konektor Saya/J 8.0, SSL koneksi memerlukan verifikasi terhadap sertifikat CA server jika properti koneksi Anda telah sslMode disetel ke VERIFY_CA atauVERIFY_IDENTITY, seperti pada contoh berikut.

Properties properties = new Properties(); properties.setProperty("sslMode", "VERIFY_IDENTITY"); properties.put("user", DB_USER); properties.put("password", DB_PASSWORD);
catatan

Jika Anda menggunakan My SQL Java Connector v5.1.38 atau yang lebih baru, atau My SQL Java Connector v8.0.9 atau yang lebih baru untuk terhubung ke database Anda, bahkan jika Anda belum secara eksplisit mengkonfigurasi aplikasi Anda untuk menggunakanSSL/TLSsaat menghubungkan ke database Anda, driver klien ini default untuk menggunakan/. SSL TLS Selain itu, saat menggunakanSSL/TLS, mereka melakukan verifikasi sertifikat sebagian dan gagal terhubung jika sertifikat server database kedaluwarsa.

Tetapkan kata sandi selain penggugah (prompt) yang ditampilkan di sini sebagai praktik terbaik keamanan.

Saya SQL

Contoh berikut dengan SQL Klien Saya menunjukkan dua cara untuk memeriksa SQL koneksi Saya skrip untuk menentukan apakah koneksi yang berhasil memerlukan sertifikat yang valid. Untuk informasi selengkapnya tentang semua opsi koneksi dengan SQL Klien Saya, lihat Konfigurasi sisi klien untuk koneksi terenkripsi dalam dokumentasi Saya. SQL

Saat menggunakan My SQL 5.7 atau My SQL 8.0 Client, SSL koneksi memerlukan verifikasi terhadap sertifikat CA server jika untuk --ssl-mode opsi yang Anda tentukan VERIFY_CA atauVERIFY_IDENTITY, seperti pada contoh berikut.

mysql -h mysql-database.rds.amazonaws.com -uadmin -ppassword --ssl-ca=/tmp/ssl-cert.pem --ssl-mode=VERIFY_CA

Saat menggunakan Klien SQL 5.6 Saya, SSL koneksi memerlukan verifikasi terhadap sertifikat CA server jika Anda menentukan --ssl-verify-server-cert opsi, seperti pada contoh berikut.

mysql -h mysql-database.rds.amazonaws.com -uadmin -ppassword --ssl-ca=/tmp/ssl-cert.pem --ssl-verify-server-cert

Memperbarui penyimpanan kepercayaan aplikasi Anda

Untuk informasi tentang memperbarui toko kepercayaan untuk SQL aplikasi Saya, lihat TLSSSLMenggunakan/dengan Konektor MariaDB/J di dokumentasi MariaDB.

Untuk informasi tentang cara mengunduh sertifikat root, lihat .

Untuk contoh skrip yang mengimpor sertifikat, lihat Contoh skrip untuk mengimpor sertifikat ke trust store Anda.

catatan

Saat memperbarui penyimpanan kepercayaan, Anda dapat mempertahankan sertifikat lama selain menambahkan sertifikat baru.

Jika Anda menggunakan driver MariaDB JDBC Connector/J dalam aplikasi, atur properti berikut dalam aplikasi.

System.setProperty("javax.net.ssl.trustStore", certs); System.setProperty("javax.net.ssl.trustStorePassword", "password");

Saat Anda memulai aplikasi, atur properti berikut.

java -Djavax.net.ssl.trustStore=/path_to_truststore/MyTruststore.jks -Djavax.net.ssl.trustStorePassword=my_truststore_password com.companyName.MyApplication
catatan

Tentukan kata sandi selain prompt yang ditampilkan di sini sebagai praktik terbaik keamanan.

Contoh kode Java untuk membangun SSL koneksi

Contoh kode berikut menunjukkan cara mengatur SSL koneksi menggunakanJDBC.

private static final String DB_USER = "admin"; private static final String DB_USER = "user name"; private static final String DB_PASSWORD = "password"; // This key store has only the prod root ca. private static final String KEY_STORE_FILE_PATH = "file-path-to-keystore"; private static final String KEY_STORE_PASS = "keystore-password"; public static void main(String[] args) throws Exception { Class.forName("org.mariadb.jdbc.Driver"); System.setProperty("javax.net.ssl.trustStore", KEY_STORE_FILE_PATH); System.setProperty("javax.net.ssl.trustStorePassword", KEY_STORE_PASS); Properties properties = new Properties(); properties.put("user", DB_USER); properties.put("password", DB_PASSWORD); Connection connection = DriverManager.getConnection("jdbc:mysql://ssl-mariadb-public.cni62e2e7kwh.us-east-1.rds.amazonaws.com:3306?useSSL=true",properties); Statement stmt=connection.createStatement(); ResultSet rs=stmt.executeQuery("SELECT 1 from dual"); return; }
penting

Setelah Anda menentukan bahwa koneksi database Anda menggunakanSSL/TLSdan telah memperbarui toko kepercayaan aplikasi Anda, Anda dapat memperbarui database Anda untuk menggunakan sertifikat rds-ca-rsa 2048-g1. Untuk mengetahui petunjuknya, lihat langkah 3 dalam Memperbarui sertifikat CA Anda dengan memodifikasi instans atau cluster DB.

Tentukan kata sandi selain prompt yang ditampilkan di sini sebagai praktik terbaik keamanan.