TiDB Cloud Dedicated 的 TLS 连接

MyCLI 在使用 TLS 相关参数时会自动启用 TLS。连接到 TiDB Cloud Dedicated 集群时，你需要设置 ssl-ca 和 ssl-verify-server-cert。

mycli --ssl-ca=ca.pem --ssl-verify-server-cert -u root -h tidb.eqlfbdgthh8.clusters.staging.tidb-cloud.com -P 4000 -D test

参数说明：

• 使用 --ssl-ca=<CA_path> 指定下载的 TiDB 集群 ca.pem 的本地路径。
• 使用 --ssl-verify-server-cert 验证 TiDB Cloud Dedicated 集群。

这里以 MySQL Connector/J 的 TLS 连接配置为例。

下载 TiDB 集群 CA 后，如果要将其导入到操作系统中，可以使用 keytool -importcert -alias TiDBCACert -file ca.pem -keystore <your_custom_truststore_path> -storepass <your_truststore_password> 命令。

/* 请确保替换以下连接字符串中的参数。 */
/* version >= 8.0.28 */
jdbc:mysql://tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com:4000/test?user=root&password=<your_password>&sslMode=VERIFY_IDENTITY&tlsVersions=TLSv1.2&trustCertificateKeyStoreUrl=file:<your_custom_truststore_path>&trustCertificateKeyStorePassword=<your_truststore_password>

你可以点击显示示例用法查看详细的代码示例。

import com.mysql.jdbc.Driver;
import java.sql.*;

class Main {
  public static void main(String args[]) throws SQLException, ClassNotFoundException {
    Class.forName("com.mysql.cj.jdbc.Driver");
    try {
      Connection conn = DriverManager.getConnection("jdbc:mysql://tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com:4000/test?user=root&password=<your_password>&sslMode=VERIFY_IDENTITY&tlsVersions=TLSv1.2&trustCertificateKeyStoreUrl=file:<your_custom_truststore_path>&trustCertificateKeyStorePassword=<your_truststore_password>");
      Statement stmt = conn.createStatement();
      try {
        ResultSet rs = stmt.executeQuery("SELECT DATABASE();");
        if (rs.next()) {
          System.out.println("using db:" + rs.getString(1));
        }
      } catch (Exception e) {
        System.out.println("exec error:" + e);
      }
    } catch (Exception e) {
      System.out.println("connect error:" + e);
    }
  }
}

参数说明：

• 设置 sslMode=VERIFY_IDENTITY 启用 TLS 并验证 TiDB Cloud Dedicated 集群。
• 设置 enabledTLSProtocols=TLSv1.2 限制 TLS 协议的版本。如果要使用 TLS 1.3，可以将版本设置为 TLSv1.3。
• 设置 trustCertificateKeyStoreUrl 为你的自定义信任库路径。
• 设置 trustCertificateKeyStorePassword 为你的信任库密码。

这里以 mysqlclient 的 TLS 连接配置为例。

host="tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com", user="root", password="<your_password>", port=4000, database="test", ssl_mode="VERIFY_IDENTITY", ssl={"ca": "ca.pem"}

你可以点击显示示例用法查看详细的代码示例。

import MySQLdb

connection = MySQLdb.connect(host="tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com", port=4000, user="root", password="<your_password>", database="test", ssl_mode="VERIFY_IDENTITY", ssl={"ca": "ca.pem"})

with connection:
    with connection.cursor() as cursor:
        cursor.execute("SELECT DATABASE();")
        m = cursor.fetchone()
        print(m[0])

参数说明：

• 设置 ssl_mode="VERIFY_IDENTITY" 启用 TLS 并验证 TiDB Cloud Dedicated 集群。
• 使用 ssl={"ca": "<CA_path>"} 指定下载的 TiDB 集群 ca.pem 的本地路径。

这里以 Go-MySQL-Driver 的 TLS 连接配置为例。

rootCertPool := x509.NewCertPool()
pem, err := ioutil.ReadFile("ca.pem")
if err != nil {
    log.Fatal(err)
}
if ok := rootCertPool.AppendCertsFromPEM(pem); !ok {
    log.Fatal("Failed to append PEM.")
}
mysql.RegisterTLSConfig("tidb", &tls.Config{
    RootCAs:    rootCertPool,
    MinVersion: tls.VersionTLS12,
    ServerName: "tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com",
})

db, err := sql.Open("mysql", "root:<your_password>@tcp(tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com:4000)/test?tls=tidb")

你可以点击显示示例用法查看详细的代码示例。

package main
import (
  "crypto/tls"
  "crypto/x509"
  "database/sql"
  "fmt"
  "io/ioutil"
  "log"

  "github.com/go-sql-driver/mysql"
)
func main() {
  rootCertPool := x509.NewCertPool()
  pem, err := ioutil.ReadFile("ca.pem")
  if err != nil {
    log.Fatal(err)
  }
  if ok := rootCertPool.AppendCertsFromPEM(pem); !ok {
    log.Fatal("Failed to append PEM.")
  }
  mysql.RegisterTLSConfig("tidb", &tls.Config{
    RootCAs:    rootCertPool,
    MinVersion: tls.VersionTLS12,
    ServerName: "tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com",
  })
  db, err := sql.Open("mysql", "root:<your_password>@tcp(tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com:4000)/test?tls=tidb")
  if err != nil {
    log.Fatal("failed to connect database", err)
  }
  defer db.Close()

  var dbName string
  err = db.QueryRow("SELECT DATABASE();").Scan(&dbName)
  if err != nil {
    log.Fatal("failed to execute query", err)
  }
  fmt.Println(dbName)
}

参数说明：

• 在 TLS 连接配置中注册 tls.Config 以启用 TLS 并验证 TiDB Cloud Dedicated 集群。
• 设置 MinVersion: tls.VersionTLS12 限制 TLS 协议的版本。
• 设置 ServerName: "<host>" 验证 TiDB Cloud Dedicated 的主机名。
• 如果你不想注册新的 TLS 配置，可以在连接字符串中直接设置 tls=true。

这里以 Mysql2 的 TLS 连接配置为例。

var connection = mysql.createConnection({
  host: 'tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com',
  port: 4000,
  user: 'root',
  password: '<your_password>',
  database: 'test',
  ssl: {
    ca: fs.readFileSync('ca.pem'),
    minVersion: 'TLSv1.2',
    rejectUnauthorized: true
  }
});

你可以点击显示示例用法查看详细的代码示例。

var mysql = require('mysql2');
var fs = require('fs');
var connection = mysql.createConnection({
  host: 'tidb.srgnqxji5bc.clusters.staging.tidb-cloud.com',
  port: 4000,
  user: 'root',
  password: '<your_password>',
  database: 'test',
  ssl: {
    ca: fs.readFileSync('ca.pem'),
    minVersion: 'TLSv1.2',
    rejectUnauthorized: true
  }
});
connection.connect(function(err) {
  if (err) {
    throw err
  }
  connection.query('SELECT DATABASE();', function(err, rows) {
    if (err) {
      throw err
    }
    console.log(rows[0]['DATABASE()']);
    connection.end()
  });
});

参数说明：

• 设置 ssl: {minVersion: 'TLSv1.2'} 限制 TLS 协议的版本。如果要使用 TLS 1.3，可以将版本设置为 TLSv1.3。
• 设置 ssl: {ca: fs.readFileSync('<CA_path>')} 读取下载的 TiDB 集群 ca.pem 的本地路径。