本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Oracle Secure Sockets Layer

若要為 Oracle 資料庫執RDS行個體啟用SSL加密，請將 Oracle 選SSL項新增至與資料庫執行個體關聯的選項群組。Amazon 根據 Oracle 的要求RDS使用第二個連接埠進行SSL連接。這種方法允許在資料庫執行個體和 SQL *Plus 之間同時進行純文字和SSL加密通訊。例如，您可以使用具有純文本通信的端口與其他資源進行通信，VPC同時使用具有 SSL-encrypted 通信的端口與外部的資源進行通信。VPC

SSL/TLS和不NNE再是Oracle 進階安全性的一部分。在 Oracle 中，您可以RDS對下列資料庫版本的所有授權版本使用SSL加密：

TLS適用於 Oracle 選SSL項的版本

Amazon RDS 適用於甲骨文支持傳輸層安全（TLS）1.0 和 1.2 版。當您新增 Oracle SSL 選項時，請SQLNET.SSL_VERSION明確設定為有效值。此選項設定允許下列值：

甲骨SSL文選項的密碼套件

Amazon RDS 的甲骨文支持多個SSL加密套件。默認情況下，Oracle SSL 選項配置為使用SSL_RSA_WITH_AES_256_CBC_SHA密碼套件。若要指定不同的加密套件以透過SSL連線使用，請使用選SQLNET.CIPHER_SUITE項設定。

您可以為指定多個值SQLNET.CIPHER_SUITE。如果您的資料庫執行個體之間有資料庫連結，並決定更新您的加密套件，則此技術非常有用。

下表摘要列出所有版本「Oracle RDS 資料庫 19c」和「21c」對 Oracle 的SSL支援。

FIPS支持

RDSOracle 允許您使用 140-2 的聯邦資訊處理標準 (FIPS) 標準。FIPS140-2 是美國政府標準，用於定義密碼編譯模組安全性需求。您可以將 Oracle SSL 選項設定TRUE為FIPS.SSLFIPS_140來開啟FIPS標準。設定 FIPS 140-2 時SSL，加密程式庫會加密用戶端與 Oracle 資料庫執行個體之間的RDS資料。

用戶端必須使用符FIPS合標準的加密套件。建立連線時，用戶端和 Oracle RDS 資料庫執行個體會協商在來回傳送訊息時要使用的加密套件。中的表格甲骨SSL文選項的密碼套件顯示了每個FIPS版本的相容SSL加密套件TLS。如需詳細資訊，請參閱 Oracle 資料庫說明文件中的 Oracle 資料庫 FIPS 140-2 設定值。

添加選SSL項

若要使用SSL，您的 RDS for Oracle 資料庫執行個體必須與包含該選項的選項群組產生關聯。SSL

將 SQL *Plus 設定為SSL與 Oracle 資料庫執RDS行個體搭配使用

連線前，您必須先設定 SQL *Plus，才能連線到使用 Oracle SSL 選項的RDS適用 Oracle 資料庫執行個體。

使用連接到RDS適用於 Oracle 資料庫執行個體的 SSL

將 SQL *Plus 設定SSL為如前所述使用之後，您可以使用SSL選項連接至RDS適用於 Oracle 資料庫執行個體的。(選用) 您可以先匯出指向包含 tnsnames.ora 和 sqlnet.ora 檔案目錄的 TNS_ADMIN 值。這樣做可確保 SQL *Plus 可以一致地找到這些文件。以下範例將匯出 TNS_ADMIN 值。

export TNS_ADMIN = ${ORACLE_HOME}/network/admin          

連線到資料庫執行個體。例如，您可以使用 SQL *Plus 和 <net_service_name> 在一個 tnsname .ora 文件中。

sqlplus mydbuser@net_service_name          

您也可以使用下列命令，在不使用 tnsnames.ora 檔案的情況下，使用 SQL *Plus 連線至資料庫執行個體。

sqlplus 'mydbuser@(DESCRIPTION = (ADDRESS = (PROTOCOL = TCPS)(HOST = endpoint) (PORT = ssl_port_number))(CONNECT_DATA = (SID = database_name)))'          

您也可以連線到適用RDS於 Oracle 資料庫執行個體，而不必使用SSL。例如，下列命令會透過純文字連接埠連接至資料庫執行個體，而不SSL加密。

sqlplus 'mydbuser@(DESCRIPTION = (ADDRESS = (PROTOCOL = TCP)(HOST = endpoint) (PORT = port_number))(CONNECT_DATA = (SID = database_name)))'          

如果要關閉「傳輸控制通訊協定」(TCP) 連接埠存取，請建立沒有 IP 位址擷取的安全群組，並將其新增至執行個體。此新增功能會關閉透過連接TCP埠的連線，同時仍允許透過從SSL選項安全性群組允許的範圍內的 IP 位址指定的連接SSL埠進行連線。

設定SSL連線 JDBC

若要透過SSL連線使用JDBC，您必須建立金鑰儲存庫、信任 Amazon RDS 根 CA 憑證，並使用以下指定的程式碼片段。

要創建格JKS式密鑰庫，可以使用以下命令。如需有關建立金鑰儲存庫的詳細資訊，請參閱 Oracle 說明文件中的 ＜ 建立金鑰儲存庫 ＞。有關參考信息，請參閱 Java 平台中的密鑰工具，標準版工具參考。

keytool -genkey -alias client -validity 365 -keyalg RSA -keystore clientkeystore         

請執行下列步驟來信任 Amazon RDS 根 CA 憑證。

下列程式碼範例會示範如何使用來設定SSL連線JDBC。

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;
import java.util.Properties;
 
public class OracleSslConnectionTest {
    private static final String DB_SERVER_NAME = "dns-name-provided-by-amazon-rds";
    private static final Integer SSL_PORT = "ssl-option-port-configured-in-option-group";
    private static final String DB_SID = "oracle-sid";
    private static final String DB_USER = "user-name";
    private static final String DB_PASSWORD = "password";
    // This key store has only the prod root ca.
    private static final String KEY_STORE_FILE_PATH = "file-path-to-keystore";
    private static final String KEY_STORE_PASS = "keystore-password";
 
    public static void main(String[] args) throws SQLException {
        final Properties properties = new Properties();
        final String connectionString = String.format(
                "jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=%s)(PORT=%d))(CONNECT_DATA=(SID=%s)))",
                DB_SERVER_NAME, SSL_PORT, DB_SID);
        properties.put("user", DB_USER);
        properties.put("password", DB_PASSWORD);
        properties.put("oracle.jdbc.J2EE13Compliant", "true");
        properties.put("javax.net.ssl.trustStore", KEY_STORE_FILE_PATH);
        properties.put("javax.net.ssl.trustStoreType", "JKS");
        properties.put("javax.net.ssl.trustStorePassword", KEY_STORE_PASS);
        final Connection connection = DriverManager.getConnection(connectionString, properties);
        // If no exception, that means handshake has passed, and an SSL connection can be opened
    }
}

透過連線強制執行 DN 相符項目 SSL

您可以使用 Oracle 參數 SSL_SERVER_DN_MATCH，以強制資料庫伺服器的辨別名稱 (DN) 比對其服務名稱。如果您強制執行比對驗證，請SSL確定憑證來自伺服器。如果您不強制執行匹配驗證，則SSL執行檢查但允許連接，無論是否存在匹配項。如果您不強制執行匹配，則允許服務器可能偽造其身份。

若要強制使用 DN 比對，請新增 DN 比對屬性，並使用如下指定的連線字串。

將此屬性新增至用戶端連線，以強制使用 DN 比對。

properties.put("oracle.net.ssl_server_dn_match", "TRUE");            

使用時，請使用下列連接字串來強制 DN 比對SSL。

final String connectionString = String.format(
    "jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=%s)(PORT=%d))" +
    "(CONNECT_DATA=(SID=%s))" +
    "(SECURITY = (SSL_SERVER_CERT_DN = 
\"C=US,ST=Washington,L=Seattle,O=Amazon.com,OU=RDS,CN=%s\")))",
    DB_SERVER_NAME, SSL_PORT, DB_SID, DB_SERVER_NAME);            

疑難排解SSL連

您可能會查詢資料庫並收到 ORA-28860 錯誤。

ORA-28860: Fatal SSL error
28860. 00000 - "Fatal SSL error"
*Cause: An error occurred during the SSL connection to the peer. It is likely that this side sent data which the peer rejected.
*Action: Enable tracing to determine the exact cause of this error. 

當用戶端嘗試使用伺服器不支援的版本進行連線時，TLS就會發生這個錯誤。若要避免發生此錯誤，請編輯 sqlnet.ora 並設定SSL_VERSION為正確的版本。TLS如需詳細資訊，請參閱「My Oracle 支援」中的 My Oracle 支援文件 2748438.1。