2.4. MariaDB サーバーでの TLS 暗号化の設定

手順

1. CA およびサーバー証明書を /etc/pki/tls/certs/ ディレクトリーに保存します。

   Copy to Clipboard Toggle word wrap

   # mv <path>/server.example.com.crt.pem /etc/pki/tls/certs/
   # mv <path>/ca.crt.pem /etc/pki/tls/certs/

2. MariaDB サーバーがファイルを読み込めるように、CA およびサーバー証明書にパーミッションを設定します。

   Copy to Clipboard Toggle word wrap

   # chmod 644 /etc/pki/tls/certs/server.example.com.crt.pem /etc/pki/tls/certs/ca.crt.pem

   証明書は、セキュアな接続が確立される前は通信の一部であるため、任意のクライアントは認証なしで証明書を取得できます。そのため、CA およびサーバーの証明書ファイルに厳密なパーミッションを設定する必要はありません。

3. サーバーの秘密鍵を /etc/pki/tls/private/ ディレクトリーに保存します。

   Copy to Clipboard Toggle word wrap

   # mv <path>/server.example.com.key.pem /etc/pki/tls/private/

4. サーバーの秘密鍵にセキュアなパーミッションを設定します。

   Copy to Clipboard Toggle word wrap

   # chmod 640 /etc/pki/tls/private/server.example.com.key.pem
   # chgrp mysql /etc/pki/tls/private/server.example.com.key.pem

   承認されていないユーザーが秘密鍵にアクセスできる場合は、MariaDB サーバーへの接続は安全ではなくなります。

5. SELinux コンテキストを復元します。

   Copy to Clipboard Toggle word wrap

   #  restorecon -Rv /etc/pki/tls/

手順

1. /etc/my.cnf.d/mariadb-server-tls.cnf ファイルを作成します。

   1. 以下の内容を追加して、秘密鍵、サーバー、および CA 証明書へのパスを設定します。

      Copy to Clipboard Toggle word wrap

      [mariadb]
      ssl_key = /etc/pki/tls/private/server.example.com.key.pem
      ssl_cert = /etc/pki/tls/certs/server.example.com.crt.pem
      ssl_ca = /etc/pki/tls/certs/ca.crt.pem

   2. 証明書失効リスト (CRL) がある場合は、それを使用するように MariaDB サーバーを設定します。

      Copy to Clipboard Toggle word wrap

      ssl_crl = /etc/pki/tls/certs/example.crl.pem

   3. オプション: 暗号化なしの接続試行を拒否します。この機能を有効にするには、以下を追加します。

      Copy to Clipboard Toggle word wrap

      require_secure_transport = on

   4. オプション: サーバーがサポートする必要がある TLS バージョンを設定します。たとえば、TLS 1.2 および TLS 1.3 をサポートするには、以下を追加します。

      Copy to Clipboard Toggle word wrap

      tls_version = TLSv1.2,TLSv1.3

      デフォルトでは、サーバーは TLS 1.1、TLS 1.2、および TLS 1.3 をサポートします。

2. mariadb サービスを再起動します。

   Copy to Clipboard Toggle word wrap

   # systemctl restart mariadb.service

1. MariaDB で TLS 暗号化が有効になっていることを確認します。

   Copy to Clipboard Toggle word wrap

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'have_ssl';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | have_ssl      | YES             |
   +---------------+-----------------+

   have_ssl 変数が yes に設定されている場合、TLS 暗号化が有効になります。

2. MariaDB サービスが特定の TLS バージョンのみをサポートするように設定している場合は、tls_version 変数を表示します。

   Copy to Clipboard Toggle word wrap

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'tls_version';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | tls_version   | TLSv1.2,TLSv1.3 |
   +---------------+-----------------+

手順

1. 管理ユーザーとして MariaDB サーバーに接続します。

   Copy to Clipboard Toggle word wrap

   # mysql -u root -p -h server.example.com

   管理ユーザーがリモートでサーバーにアクセスする権限を持たない場合は、MariaDB サーバーでコマンドを実行し、localhost に接続します。

2. REQUIRE SSL 句を使用して、ユーザーが TLS 暗号化接続を使用して接続する必要があるよう強制します。

   Copy to Clipboard Toggle word wrap

   MariaDB [(none)]> ALTER USER 'example'@'%' REQUIRE SSL;

検証

1. TLS 暗号化を使用して、example ユーザーとしてサーバーに接続します。

   Copy to Clipboard Toggle word wrap

   # mysql -u example -p -h server.example.com --ssl
   ...
   MariaDB [(none)]>

   エラーが表示されず、インタラクティブな MariaDB コンソールにアクセスできる場合は、TLS との接続は成功します。

2. TLS を無効にして、example ユーザーとして接続を試みます。

   Copy to Clipboard Toggle word wrap

   # mysql -u example -p -h server.example.com --skip-ssl
   ERROR 1045 (28000): Access denied for user 'example'@'server.example.com' (using password: YES)

   このユーザーに TLS が必要だが無効になっているため、サーバーはログインの試行を拒否しました (--skip-ssl)。