MariaDBサーバーデータベース暗号化の基本

$ mkdir -p /etc/mysql/certs

次に、接続を暗号化するように構成されるCA証明書を生成しましょう：

$ openssl genrsa 2048 > ca-key.pem

$ openssl req -new -x509 -nodes -days 365000 -key ca-key.pem -out ca-cert.pem

この最後のコマンドでは、次の情報を入力するように求められます。

Country Name (2 letter code) [AU]:

State or Province Name (full name) [Some-State]:

Locality Name (eg, city) []:

Organization Name (eg, company) [Internet Widgits Pty Ltd]:

Organizational Unit Name (eg, section) []:

Common Name (e.g. server FQDN or YOUR name) []:

Email Address []:

次に、サーバー証明書を生成する必要があります：

$ openssl req -newkey rsa:2048 -nodes -keyout server-key.pem -out server-req.pem

このコマンドでは、以前と同じ情報に加えて、オプションの証明書パスワードを入力するように求められます。

$ openssl rsa -in server-key.pem -out server-key.pem

$ openssl x509 -req -in server-req.pem -days 365000 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

最後に、クライアント証明書を生成する必要があります：

$ openssl req -newkey rsa:2048 -nodes -keyout client-key.pem -out client-req.pem

これにより、情報とオプションの証明書パスワードを入力するよう求められます。

$ openssl rsa -in client-key.pem -out client-key.pem

$ openssl x509 -req -in client-req.pem -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

証明書ごとに異なる共通名を使用していることを確認してください。使用していないと、機能せず、次のようなメッセージが表示されます。

ERROR 2026 (HY000): SSL connection error: self signed certificate

現時点では、次のようになります。

$ ls /etc/mysql/certs/

ca-cert.pem  ca-key.pem  client-cert.pem  client-key.pem  client-req.pem  server-cert.pem  server-key.pem  server-req.pem

そして、次のコマンドを使用して証明書を検証できます：

$ openssl verify -CAfile ca-cert.pem server-cert.pem client-cert.pem

server-cert.pem: OK

client-cert.pem: OK

では、my.cnf構成ファイル（RedHatベースのOSでは/ etc /、DebianベースのOSでは/ etc / mysql /にあります）で構成しましょう：

[mysqld]

ssl_ca=/etc/mysql/certs/ca-cert.pem

ssl_cert=/etc/mysql/certs/server-cert.pem

ssl_key=/etc/mysql/certs/server-key.pem



[client-mariadb]

ssl_ca =/etc/mysql/certs/ca-cert.pem

ssl_cert=/etc/mysql/certs/client-cert.pem

ssl_key=/etc/mysql/certs/client-key.pem

対応するセクション（mysqldおよびclient-mariadb）の下に追加していることを確認してください。

証明書の所有者を変更し、データベースサービスを再起動します：

$ chown mysql.mysql /etc/mysql/certs/

$ systemctl restart mariadb

この後、SHOW VARIABLESの出力を見ると、次のようになっているはずです。

MariaDB [(none)]> SHOW VARIABLES LIKE '%ssl%';

+---------------------+----------------------------------+

| Variable_name       | Value                            |

+---------------------+----------------------------------+

| have_openssl        | YES                              |

| have_ssl            | YES                              |

| ssl_ca              | /etc/mysql/certs/ca-cert.pem     |

| ssl_capath          |                                  |

| ssl_cert            | /etc/mysql/certs/server-cert.pem |

| ssl_cipher          |                                  |

| ssl_crl             |                                  |

| ssl_crlpath         |                                  |

| ssl_key             | /etc/mysql/certs/server-key.pem  |

| version_ssl_library | OpenSSL 1.1.1  11 Sep 2018       |

+---------------------+----------------------------------+

10 rows in set (0.001 sec)

それでは、それを使用するためのREQUIRESSSLパラメーターを持つユーザーを作成しましょう：

MariaDB [(none)]> GRANT ALL PRIVILEGES ON *.* TO 's9s'@'%' IDENTIFIED BY 'root123' REQUIRE SSL;

Query OK, 0 rows affected (0.005 sec)

このユーザーを使用してデータベースにアクセスし、statusコマンドを確認すると、SSLが使用中であることがわかります。

MariaDB [(none)]> status

--------------

mysql  Ver 15.1 Distrib 10.4.13-MariaDB, for debian-linux-gnu (x86_64) using readline 5.2

Connection id: 15

Current database:

Current user: [email protected]

SSL: Cipher in use is TLS_AES_256_GCM_SHA384

Current pager: stdout

Using outfile: ''

Using delimiter: ;

Server: MariaDB

Server version: 10.4.13-MariaDB-1:10.4.13+maria~bionic-log mariadb.org binary distribution

Protocol version: 10

Connection: 127.0.0.1 via TCP/IP

Server characterset: latin1

Db     characterset: latin1

Client characterset: utf8

Conn.  characterset: utf8

TCP port: 3306

Uptime: 16 sec

Threads: 11  Questions: 136  Slow queries: 0  Opens: 17  Flush tables: 1  Open tables: 11  Queries per second avg: 8.500

--------------

ClusterControlでSSL暗号化を有効にする方法

MariaDBデータベースでSSLを有効にする別の方法、さらに簡単な方法は、ClusterControlを使用することです。 ClusterControlがインストールされており、それを使用してMariaDBデータベースを管理していることを前提としているため、ClusterControl->MariaDBクラスターの選択->セキュリティ->SSL暗号化->有効に移動します。

これで、MariaDBデータベースでSSL暗号化が有効になります手作業なしで。

MariaDBでの保存時の暗号化の制限

MariaDBの保存時の暗号化に関連して、考慮すべきいくつかの制限があります。

• メタデータ（.frmファイルなど）とクライアントに送信されるデータは暗号化されません。
• 特に
  データを復号化する方法を知っているのは、MariaDBサーバーだけです。
  • mysqlbinlogは、-read-from-remote-serverが使用されている場合にのみ暗号化されたバイナリログを読み取ることができます。
  • Percona XtraBackupは、暗号化されたInnoDBを使用するインスタンスをバックアップできません。ただし、Mariabackupは暗号化されたインスタンスをバックアップできます。
• ディスクベースのGaleragcacheは、コミュニティバージョンのMariaDB Serverでは暗号化されていませんが、このファイルはMariaDB EnterpriseServer10.4で暗号化されています。
• Auditプラグインは暗号化された出力を作成できません。それをsyslogに送信し、代わりにそこで保護を構成します。
ファイルベースの一般的なクエリログと低速のクエリログは暗号化できません。
• Ariaログは暗号化されていません。これは、一時的でないAriaテーブルにのみ影響します。
• MariaDBエラーログは暗号化されていません。エラーログには、クラッシュ、アサーションの失敗、デバッグを支援するためにInnoDB / XtraDBがモニター出力をログに書き込む場合など、クエリテキストとデータが含まれる場合があります。必要に応じてsyslogに送信することもできます。