MySQLでSSLを有効にする

Ubuntu Server 12.04を実行していますが、MySQLへのSSL接続を有効にします。

OpenSSLで次のキー/証明書ファイルを生成しました。

• ca-cert.pem
• server-cert.pem
• server-key.pem

これらをに保存して/etc/mysqlから、次の行を追加しました/etc/mysql/my.cnf：

ssl-ca=/etc/mysql/ca-cert.pem
ssl-cert=/etc/mysql/server-cert.pem
ssl-key=/etc/mysql/server-key.pem

次に、でサーバーを再起動しましたsudo service restart mysql。

ただし、これはSSLを有効にしないようです。mysqlセッション内：

mysql> show variables like '%ssl%';
+---------------+----------------------------+
| Variable_name | Value                      |
+---------------+----------------------------+
| have_openssl  | DISABLED                   |
| have_ssl      | DISABLED                   |
| ssl_ca        | /etc/mysql/ca-cert.pem     |
| ssl_capath    |                            |
| ssl_cert      | /etc/mysql/server-cert.pem |
| ssl_cipher    |                            |
| ssl_key       | /etc/mysql/server-key.pem  |
+---------------+----------------------------+

私が欠けているアイデアはありますか？ありがとう

Ubuntu 12.04にはOpenSSL 1.0.1が付属しており、古いOpenSSL 0.9.8バージョンとは多少異なるデフォルトがあります。

とりわけopenssl req -newkey rsa:2048、RSAキーの生成に使用している場合、PKCS＃8と呼ばれる形式のキーになります。PEM形式-----BEGIN PRIVATE KEY-----で表されるこれらのキーには、より一般的なヘッダーがあり、どの種類（RSA、DSA、EC）キーであるかはわかりません。

以前、OpenSSL 0.9.8では、キーは常にPKCS＃1と呼ばれる形式であり、PEMとして表され、ヘッダーがありました-----BEGIN RSA PRIVATE KEY-----。

このため、ヘッダーとフッターを次から単純に変更することはできません。

-----BEGIN PRIVATE KEY-----

に

-----BEGIN RSA PRIVATE KEY-----`

同じものではなく、機能しません。代わりに、を使用してキーを古い形式に変換する必要がありますopenssl rsa。このような：

openssl rsa -in key_in_pkcs1_or_pkcs8.pem -out key_in_pkcs1.pem

Ubuntu 12.04上のMySQL（v5.5.35）は、yaSSL（v2.2.2）と呼ばれるSSL実装を使用しています。キーはPKCS＃1形式である必要があり、OpenSSL 1.0以降で使用されるPKCS＃8形式をサポートしていません。このスレッドの他の投稿で示唆されているように、ヘッダーとフッターを単に変更した場合、MySQL / yaSSLは文句を言いませんが、接続できず、代わりに次のようなエラーが発生します。

ERROR 2026 (HY000): SSL connection error: protocol version mismatch

Ubuntu 14.04にはOpenSSL 1.0.1fと新しい設定が付属しています。特に、以前のバージョンで使用されていたSHA1ではなく、SHA256ダイジェストを使用して証明書を生成します。偶然にも、MySQLにバンドルされているyaSSLバージョンもこれをサポートしていません。

MySQLで使用する証明書を生成する場合、RSAキーが従来のPKCS＃1 PEM形式に変換され、その証明書がSHA1ダイジェストを使用していることを忘れないでください。

独自のCA、サーバー証明書、およびクライアント証明書を生成する方法の例を次に示します。

# Generate a CA key and certificate with SHA1 digest
openssl genrsa 2048 > ca-key.pem
openssl req -sha1 -new -x509 -nodes -days 3650 -key ca-key.pem > ca-cert.pem

# Create server key and certficate with SHA1 digest, sign it and convert
# the RSA key from PKCS #8 (OpenSSL 1.0 and newer) to the old PKCS #1 format
openssl req -sha1 -newkey rsa:2048 -days 730 -nodes -keyout server-key.pem > server-req.pem
openssl x509 -sha1 -req -in server-req.pem -days 730  -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > server-cert.pem
openssl rsa -in server-key.pem -out server-key.pem

# Create client key and certificate with SHA digest, sign it and convert
# the RSA key from PKCS #8 (OpenSSL 1.0 and newer) to the old PKCS #1 format
openssl req -sha1 -newkey rsa:2048 -days 730 -nodes -keyout client-key.pem > client-req.pem
openssl x509 -sha1 -req -in client-req.pem -days 730 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > client-cert.pem
openssl rsa -in client-key.pem -out client-key.pem

これは私を助けました：

ファイルserver-key.pemのヘッダーとフッターは次のようになりました。

-----BEGIN PRIVATE KEY-----
...
...
-----END PRIVATE KEY-----

ただし、次のようなものが必要です。

-----BEGIN RSA PRIVATE KEY-----
...
...
-----END RSA PRIVATE KEY-----

BEGIN RSA PRIVATE KEYに注意してください

ログを表示するには：

sudo vim /var/log/mysql/error.log

お役に立てれば。

12.04でも同じトラブルが発生しましたが、実際には問題を引き起こしたのは防具でした。

Ubuntu Forumsで解決策を見つけ、.pemファイルを移動して/etc/mysql解決しました。

でapparmorの設定を変更することもできます/etc/apparmor.d/usr.sbin.mysqld。

mysqldプロセスを実行しているユーザーに、キーと証明書ファイルへの読み取りアクセス権があることを確認してください。アカウント「mysql」を使用してMySQLを起動すると、次のようになります。

/etc/mysql$ chown mysql:mysql *.pem
/etc/mysql$ ls -l *.pem
-rwxrwx--- 1 mysql mysql 1631 2013-09-16 14:27 ca-cert.pem
-rwxrwx--- 1 mysql mysql 1281 2013-09-16 14:27 server-cert.pem
-rwxrwx--- 1 mysql mysql 1679 2013-09-16 14:27 server-key.pem

そうしないと、エラーログに次の内容が記録される場合があります。

SSL error: Unable to get certificate from '/etc/mysql/server-cert.pem'
130916 13:32:25 [Warning] Failed to setup SSL
130916 13:32:25 [Warning] SSL error: Unable to get certificate

Ubuntu 16.04ではmysql_ssl_rsa_setup、質問のようにshow変数のファイルを見ることができましたがhave_ssl、have_openssl引き続き表示されましたDISABLED。

ソリューションにしましたchown mysql.mysql /var/lib/mysql/*.pem。あるいは、mysqlユーザーとしてmysql_ssl_rsa_setupを実行すると、正しい許可を持つファイルが作成されると思います。

秘密鍵ファイルは次のようになります（PKCS＃1形式）：

-----BEGIN RSA PRIVATE KEY-----
. . .
-----END RSA PRIVATE KEY-----

秘密鍵が代わりに始まる場合：

-----BEGIN PRIVATE KEY-----

（PKCS＃8形式）、次のように変換する必要があります。

openssl rsa -in server-key.pem -out server-key.pem

"missing" " RSA"タグを手動で手動で追加しないでください。形式が異なるためです。

SSL起動オプションは、my.cnfファイルの上部近くにある必要があります。そうでない場合、無視される可能性があります。SSL変数が無視されているRHEL 6.4でmysql 5.6を実行する際に問題が発生しました。my.cnfファイルの最後にありました。それらをファイルの先頭（[mysqld]のすぐ下）に移動し、サーバーを再起動しましたが、すべて問題ありませんでした。