TiDB 専用の TLS 接続

MyCLI TLS 関連パラメータを使用するときに TLS を自動的に有効にします。 TiDB 専用クラスターに接続する場合は、 ssl-caとssl-verify-server-certを設定する必要があります。

mycli --ssl-ca=ca.pem --ssl-verify-server-cert -u root -h tidb.eqlfbdgthh8.clusters.staging.tidb-cloud.com -P 4000 -D test

パラメータの説明：

• --ssl-ca=<CA_path>を使用して、ダウンロードした TiDB クラスターのローカル パスを指定します。 ca.pem 。
• --ssl-verify-server-certを指定すると、TiDB 専用クラスターが検証されます。

ここでは例としてMySQLコネクタ/Jの TLS 接続構成が使用されています。

TiDB クラスター CA をダウンロードした後、それをオペレーティング システムにインポートする場合は、 keytool -importcert -alias TiDBCACert -file ca.pem -keystore <your_custom_truststore_path> -storepass <your_truststore_password>コマンドを使用できます。

/* Be sure to replace the parameters in the following connection string. */
/* version >= 8.0.28 */
jdbc:mysql://tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com:4000/test?user=root&password=<your_password>&sslMode=VERIFY_IDENTITY&tlsVersions=TLSv1.2&trustCertificateKeyStoreUrl=file:<your_custom_truststore_path>&trustCertificateKeyStorePassword=<your_truststore_password>

「使用例を表示」をクリックすると、詳細なコード例が表示されます。

import com.mysql.jdbc.Driver;
import java.sql.*;

class Main {
  public static void main(String args[]) throws SQLException, ClassNotFoundException {
    Class.forName("com.mysql.cj.jdbc.Driver");
    try {
      Connection conn = DriverManager.getConnection("jdbc:mysql://tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com:4000/test?user=root&password=&sslMode=VERIFY_IDENTITY&tlsVersions=TLSv1.2&trustCertificateKeyStoreUrl=file:&trustCertificateKeyStorePassword=");
      Statement stmt = conn.createStatement();
      try {
        ResultSet rs = stmt.executeQuery("SELECT DATABASE();");
        if (rs.next()) {
          System.out.println("using db:" + rs.getString(1));
        }
      } catch (Exception e) {
        System.out.println("exec error:" + e);
      }
    } catch (Exception e) {
      System.out.println("connect error:" + e);
    }
  }
}

パラメータの説明：

• TLS を有効にして TiDB 専用クラスターを検証するには、 sslMode=VERIFY_IDENTITYを設定します。
• TLS プロトコルのバージョンを制限するには、 enabledTLSProtocols=TLSv1.2を設定します。 TLS 1.3 を使用する場合は、バージョンをTLSv1.3に設定できます。
• カスタム トラストストア パスにtrustCertificateKeyStoreUrlを設定します。
• トラストストアのパスワードにtrustCertificateKeyStorePasswordを設定します。

ここでは例としてmysqlクライアントの TLS 接続構成が使用されています。

host="tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com", user="root", password="", port=4000, database="test", ssl_mode="VERIFY_IDENTITY", ssl={"ca": "ca.pem"}

「使用例を表示」をクリックすると、詳細なコード例が表示されます。

import MySQLdb

connection = MySQLdb.connect(host="tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com", port=4000, user="root", password="", database="test", ssl_mode="VERIFY_IDENTITY", ssl={"ca": "ca.pem"})

with connection:
    with connection.cursor() as cursor:
        cursor.execute("SELECT DATABASE();")
        m = cursor.fetchone()
        print(m[0])

パラメータの説明：

• TLS を有効にして TiDB 専用クラスターを検証するには、 ssl_mode="VERIFY_IDENTITY"を設定します。
• ssl={"ca": "<CA_path>"}を使用して、ダウンロードした TiDB クラスターのローカル パスを指定します。 ca.pem 。

ここでは例としてGo-MySQL-ドライバーの TLS 接続構成が使用されています。

rootCertPool := x509.NewCertPool()
pem, err := ioutil.ReadFile("ca.pem")
if err != nil {
    log.Fatal(err)
}
if ok := rootCertPool.AppendCertsFromPEM(pem); !ok {
    log.Fatal("Failed to append PEM.")
}
mysql.RegisterTLSConfig("tidb", &tls.Config{
    RootCAs:    rootCertPool,
    MinVersion: tls.VersionTLS12,
    ServerName: "tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com",
})

db, err := sql.Open("mysql", "root:@tcp(tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com:4000)/test?tls=tidb")

「使用例を表示」をクリックすると、詳細なコード例が表示されます。

package main
import (
  "crypto/tls"
  "crypto/x509"
  "database/sql"
  "fmt"
  "io/ioutil"
  "log"

  "github.com/go-sql-driver/mysql"
)
func main() {
  rootCertPool := x509.NewCertPool()
  pem, err := ioutil.ReadFile("ca.pem")
  if err != nil {
    log.Fatal(err)
  }
  if ok := rootCertPool.AppendCertsFromPEM(pem); !ok {
    log.Fatal("Failed to append PEM.")
  }
  mysql.RegisterTLSConfig("tidb", &tls.Config{
    RootCAs:    rootCertPool,
    MinVersion: tls.VersionTLS12,
    ServerName: "tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com",
  })
  db, err := sql.Open("mysql", "root:@tcp(tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com:4000)/test?tls=tidb")
  if err != nil {
    log.Fatal("failed to connect database", err)
  }
  defer db.Close()

  var dbName string
  err = db.QueryRow("SELECT DATABASE();").Scan(&dbName)
  if err != nil {
    log.Fatal("failed to execute query", err)
  }
  fmt.Println(dbName)
}

パラメータの説明：

• TLS 接続構成にtls.Config登録して、TLS を有効にし、TiDB 専用クラスターを検証します。
• TLS プロトコルのバージョンを制限するには、 MinVersion: tls.VersionTLS12を設定します。
• TiDB Dended のホスト名を検証するにはServerName: "<host>"を設定します。
• 新しい TLS 構成を登録したくない場合は、接続文字列にtls=trueを設定するだけで済みます。

ここでは例としてMySQL2の TLS 接続構成が使用されています。

var connection = mysql.createConnection({
  host: 'tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com',
  port: 4000,
  user: 'root',
  password: '',
  database: 'test',
  ssl: {
    ca: fs.readFileSync('ca.pem'),
    minVersion: 'TLSv1.2',
    rejectUnauthorized: true
  }
});

「使用例を表示」をクリックすると、詳細なコード例が表示されます。

var mysql = require('mysql2');
var fs = require('fs');
var connection = mysql.createConnection({
  host: 'tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com',
  port: 4000,
  user: 'root',
  password: '',
  database: 'test',
  ssl: {
    ca: fs.readFileSync('ca.pem'),
    minVersion: 'TLSv1.2',
    rejectUnauthorized: true
  }
});
connection.connect(function(err) {
  if (err) {
    throw err
  }
  connection.query('SELECT DATABASE();', function(err, rows) {
    if (err) {
      throw err
    }
    console.log(rows[0]['DATABASE()']);
    connection.end()
  });
});

パラメータの説明：

• TLS プロトコルのバージョンを制限するには、 ssl: {minVersion: 'TLSv1.2'}を設定します。 TLS 1.3 を使用する場合は、バージョンをTLSv1.3に設定できます。
• ダウンロードした TiDB クラスターのローカル CA パスを読み取るには、 ssl: {ca: fs.readFileSync('<CA_path>')}を設定します。 ca.pem 。