3.5. MySQL クライアントで CA 証明書の検証を使用して TLS 暗号化をグローバルで有効にする

前提条件

• MySQL サーバーで TLS サポートが有効になっている。
• CA 証明書は、クライアントの /etc/pki/tls/certs/ca.crt.pem ファイルに保存されます。

手順

• 以下の内容で /etc/my.cnf.d/mysql-client-tls.cnf ファイルを作成します。

  [client]
  ssl-mode=VERIFY_IDENTITY
  ssl-ca=/etc/pki/tls/certs/ca.crt.pem

  Copy to Clipboard Toggle word wrap

  これらの設定は、MySQL クライアントが TLS 暗号化を使用すること、およびクライアントがホスト名をサーバー証明書の CN と比較すること (ssl-mode=VERIFY_IDENTITY) を定義します。さらに、CA 証明書 (ssl-ca) へのパスも指定します。

検証

• ホスト名を使用してサーバーに接続し、サーバーの状態を表示します。

  # mysql -u root -p -h server.example.com -e status
  ...
  SSL:        Cipher in use is TLS_AES_256_GCM_SHA384

  Copy to Clipboard Toggle word wrap

  SSL エントリーに Cipher in use is…​ が含まれている場合、接続は暗号化されています。

  このコマンドで使用するユーザーには、リモートで認証するパーミッションがあることに注意してください。

  接続するホスト名がサーバーの TLS 証明書のホスト名と一致しない場合、ssl-mode=VERIFY_IDENTITY パラメーターにより接続が失敗します。たとえば、localhost に接続する場合は、以下のようになります。

  # mysql -u root -p -h localhost -e status
  ERROR 2026 (HY000): SSL connection error: error:0A000086:SSL routines::certificate verify failed

  Copy to Clipboard Toggle word wrap