MySQL中SSL配置.docxVIP

一、查看mysql是否支持ssl连接：需要确定是DISABLED不是NO，DISABLED表示支持SSL但是没有开启二、创建密钥1、创建CA私钥：openssl genrsa 2048 ca-key.pem2、创建CA证书：openssl req -new -x509 -nodes -days 3600?-key ca-key.pem -out ca-cert.pem3、创建server私钥：openssl req -newkey rsa:2048 -days 3600?-nodes -keyout server-key.pem -out server-req.pem4、创建server端证书签名：openssl rsa -in server-key.pem -out server-key.pem5、CA签署server证书：openssl x509 -req -in server-req.pem -days 3600?-CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem6、创建client上的密钥：openssl req -newkey rsa:2048 -days 3600?-nodes -keyout client-key.pem -out client-req.pem7、创建client端证书签名：openssl rsa -in client-key.pem -out client-key.pem8、CA签署client证书：openssl x509 -req -in client-req.pem -days 3600?-CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem9、创建后验证：openssl verify -CAfile ca-cert.pem server-cert.pem client-cert.pem修改my.cnf[client]ssl-ca=$DIR/ca-cert.pemssl-cert=$DIR/client-cert.pemssl-key=$DIR/client-key.pem[mysqld]ssl-ca=$DIR/ca-cert.pemssl-cert=$DIR/server-cert.pemssl-key=$DIR/server-key.pem重启mysql服务注：如果my.cnf中client没有填写ssl的配置时，需指定ca证书、client证书、client私钥写在配置文件中时，无需再指定三、SSL用户1、服务器端：在配置过SSL功能后如果没有创建只允许SSL用户登录的帐号，SSL并不起作用，所有用户都可以正常连接，所以需要创建只允许通过SSL连接的用户。创建的用户必须有密码。2、客户端：在连接客户端需要有ca证书、client证书、client私钥，可以写在my.cnf中也可以在连接数据库的时候指定[client]ssl-ca=$DIR/ca-cert.pemssl-cert=$DIR/client-cert.pemssl-key=$DIR/client-key.pem@sr