MySQL配置SSL并修改JDBC連接配置過程
更新時間：2025年11月20日 09:43:58 作者：愛是與世界平行
本文介紹了如何使用OpenSSL創(chuàng)建SSL證書和私鑰,以及如何在MySQL中配置SSL以支持安全連接,此外,還詳細(xì)說明了如何在Java中使用JDBC配置SSL連接
一、使用 OpenSSL 創(chuàng)建 SSL 證書和私鑰
- 根據(jù)自己的操作系統(tǒng)下載Win(xx)OpenSSL安裝
- 新建一個目錄用于存放生成的證書和私鑰
//生成一個 CA 私鑰 openssl genrsa 2048 > cert/ca-key.pem //使用私鑰生成一個新的數(shù)字證書,執(zhí)行這個命令時, 會需要填寫一些問題, 隨便填寫就可以了 openssl req -sha1 -new -x509 -nodes -days 3650 -key ./cert/ca-key.pem > cert/ca-cert.pem //創(chuàng)建服務(wù)器端RSA 私鑰和數(shù)字證書,這個命令會生成一個新的私鑰(server-key.pem), 同時會使用這個新私鑰來生成一個證書請求文件(server-req.pem). //這個命令同樣需要回答幾個問題, 隨便填寫即可. 不過需要注意的是, A challenge password 這一項需要為空 openssl req -sha1 -newkey rsa:2048 -days 3650 -nodes -keyout cert/server-key.pem > cert/server-req.pem //將生成的私鑰轉(zhuǎn)換為 RSA 私鑰文件格式 openssl rsa -in cert/server-key.pem -out cert/server-key.pem //使用原先生成的 CA 證書來生成一個服務(wù)器端的數(shù)字證書 openssl x509 -sha1 -req -in cert/server-req.pem -days 3650 -CA cert/ca-cert.pem -CAkey cert/ca-key.pem -set_serial 01 > cert/server-cert.pem //創(chuàng)建客戶端的 RSA 私鑰和數(shù)字證書 openssl req -sha1 -newkey rsa:2048 -days 3650 -nodes -keyout cert/client-key.pem > cert/client-req.pem //將生成的私鑰轉(zhuǎn)換為 RSA 私鑰文件格式 openssl rsa -in cert/client-key.pem -out cert/client-key.pem //為客戶端創(chuàng)建一個數(shù)字證書 openssl x509 -sha1 -req -in cert/client-req.pem -days 3650 -CA cert/ca-cert.pem -CAkey cert/ca-key.pem -set_serial 01 > cert/client-cert.pem
1.1 SSL 配置
在前面的步驟中, 我們已經(jīng)生成了8個文件, 分別是:
- ca-cert.pem: CA 證書, 用于生成服務(wù)器端/客戶端的數(shù)字證書.
- ca-key.pem: CA 私鑰, 用于生成服務(wù)器端/客戶端的數(shù)字證書.
- server-key.pem: 服務(wù)器端的 RSA 私鑰
- server-req.pem: 服務(wù)器端的證書請求文件, 用于生成服務(wù)器端的數(shù)字證書.
- server-cert.pem: 服務(wù)器端的數(shù)字證書.
- client-key.pem: 客戶端的 RSA 私鑰
- client-req.pem: 客戶端的證書請求文件, 用于生成客戶端的數(shù)字證書.
- client-cert.pem: 客戶端的數(shù)字證書.
二、查看數(shù)據(jù)庫是否支持 SSL
首先在 MySQL 上執(zhí)行如下命令, 查詢是否 MySQL 支持 SSL:
mysql> SHOW VARIABLES LIKE 'have_ssl'; +---------------+-------+ | Variable_name | Value | +---------------+-------+ | have_ssl | YES | +---------------+-------+ 1 row in set (0.02 sec)
當(dāng) have_ssl 為 YES 時, 表示此時 MySQL 服務(wù)已經(jīng)支持 SSL 了. 如果是 DESABLE, 則需要在啟動 MySQL 服務(wù)時, 使能 SSL 功能.
2.1 設(shè)置MySQL配置文件，開啟SSL驗證
vi my.cnf
# 在mysqld下面添加如下配置 [mysqld] require_secure_transport = ON
2.2 配置MySQL的SSL
接下來我們就需要分別配置服務(wù)器端和客戶端：
- 服務(wù)器端配置
- 服務(wù)器端需要用到三個文件, 分別是: CA 證書, 服務(wù)器端的 RSA 私鑰, 服務(wù)器端的數(shù)字證書, 我們需要在 [mysqld] 配置域下添加如下內(nèi)容:
[mysqld] ssl-ca=/etc/mysql/ca-cert.pem ssl-cert=/etc/mysql/server-cert.pem ssl-key=/etc/mysql/server-key.pem
接著我們還可以更改 bind-address, 使 MySQL 服務(wù)可以接收來自所有 ip 地址的客戶端, 即:
bind-address = *
當(dāng)配置好后, 我們需要重啟 MySQL 服務(wù)
最后一步, 我們添加一個需要使用 SSL 才可以登錄的帳號, 來驗證一下我們所配置的 SSL 是否生效:
GRANT ALL PRIVILEGES ON *.* TO 'ssl_test'@'%' IDENTIFIED BY 'ssl_test' REQUIRE SSL; FLUSH PRIVILEGES;
- 查看用戶是否使用ssl
SELECT ssl_type From mysql.user Where user="ssler"
ssl_type為空字符串，表示該用戶不強(qiáng)制要求使用ssl連接。
- 配置用戶必須使用ssl連接
ALTER USER 'ssler'@'%' REQUIRE SSL; FLUSH PRIVILEGES
此時再執(zhí)行
SELECT ssl_type From mysql.user Where user="ssler"
ANY表示必須使用ssl連接。
當(dāng)配置好后, 使用 root 登錄 MySQL
mysql --ssl-ca="D:/Program Files/OpenSSL-Win64/bin/cert/ca-cert.pem" --ssl-cert="D:/Program Files/OpenSSL-Win64/bin/cert/client-cert.pem" --ssl-key="D:/Program Files/OpenSSL-Win64/bin/cert/client-key.pem" -u coisini -p
當(dāng)連接成功后, 我們執(zhí)行 show variables like ‘%ssl%’ 語句會有如下輸出:
mysql> show variables like '%ssl%'; +---------------+-----------------+ | Variable_name | Value | +---------------+-----------------+ | have_openssl | YES | | have_ssl | YES | | ssl_ca | ca.pem | | ssl_capath | | | ssl_cert | server-cert.pem | | ssl_cipher | | | ssl_crl | | | ssl_crlpath | | | ssl_key | server-key.pem | +---------------+-----------------+ 9 rows in set (0.01 sec)
三、JAVA-JDBC配置
使用jdk自帶的keytool導(dǎo)入mysql的客戶端證書到密鑰倉庫，并生成密鑰文件。
根據(jù)上文查到的ca.pem，將其復(fù)制到目標(biāo)主機(jī)上，然后執(zhí)行下述指令
- 使用該命令生成java使用SSL連接所需的文件：
keytool -importcert -alias MySQLCACert -file "D:\Program Files\OpenSSL-Win64\bin\cert\ca-cert.pem" -keystore truststore -storepass 密碼
- 通過指令驗證證書是否導(dǎo)入
$ keytool -list -keystore mysql.ks 輸入密鑰庫口令: 密鑰庫類型: jks 密鑰庫提供方: SUN 您的密鑰庫包含 1 個條目 mysql, 2020-6-9, trustedCertEntry, 證書指紋 (SHA1): 6B:EE:FE:B4:74:89:A3:88:6C:49:22:44:6D:FB:88:DE:18:6A:7A:F6
- 將生成的文件配置系統(tǒng)環(huán)境變量
名：JAVA_OPTS 值：-Djavax.net.ssl.trustStore="上一步中生成文件的本地路徑" -Djavax.net.ssl.trustStorePassword="密碼"
- JDBC配置連接
##jdbc.properties: yxaq.dz=jdbc:mysql://127.0.0.1:3306/yxaqgl?verifyServerCertificate=true&useSSL=true&requireSSL=true
總結(jié)
以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。
您可能感興趣的文章:
相關(guān)文章
本文主要介紹了mysql?樂觀鎖和悲觀鎖的具體使用，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2023-01-01
mysql5.7.18.zip免安裝版本配置教程（windows）
這篇文章主要為大家詳細(xì)介紹了mysql5.7.18.zip安裝教程，具有一定的參考價值，感興趣的小伙伴們可以參考一下2017-05-05
MySql5.7.11編譯安裝及修改root密碼的方法小結(jié)
這篇文章主要介紹了MySql5.7.11編譯安裝及修改root密碼的方法小結(jié)的相關(guān)資料,需要的朋友可以參考下2016-04-04
MySQL中CONCAT和GROUP_CONCAT方法的區(qū)別詳解
本文主要介紹了MySQL中CONCAT和GROUP_CONCAT方法的區(qū)別詳解，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2023-01-01
這篇文章主要介紹了MySQL使用profile查詢性能的操作教程,不僅是SQL語句的性能,更能夠收集系統(tǒng)運行的CPU及內(nèi)存占用情況,需要的朋友可以參考下2015-11-11
如何優(yōu)雅、安全的關(guān)閉MySQL進(jìn)程
這篇文章主要介紹了如何優(yōu)雅、安全的關(guān)閉MySQL進(jìn)程，幫助大家更好的理解和學(xué)習(xí)MySQL，感興趣的朋友可以了解下2020-08-08
MySql安裝與配置方法(MySQL添加用戶、刪除用戶與授權(quán))
這篇文章主要介紹了MySql安裝與配置方法(MySQL添加用戶、刪除用戶與授權(quán))的相關(guān)資料,非常不錯，具有參考借鑒價值，需要的朋友可以參考下2016-08-08
MySQL數(shù)據(jù)庫的InnoDB和MyISAM存儲引擎的區(qū)別及說明
InnoDB是MySQL的默認(rèn)存儲引擎,它支持事務(wù)、外鍵和行級鎖定,具有更好的并發(fā)控制性能和崩潰恢復(fù)能力,而MyISAM不支持事務(wù)和外鍵,使用表級鎖定,適合讀操作頻繁的場景2024-12-12
這篇文章主要介紹了MySQL的InnoDB引擎入門學(xué)習(xí)教程,對InnoDB的存儲結(jié)構(gòu)有一個較好的總結(jié),需要的朋友可以參考下2015-11-11
zabbix監(jiān)控MySQL主從狀態(tài)的方法詳解
這篇文章主要介紹了zabbix--監(jiān)控MySQL主從狀態(tài)的方法，本文圖文并茂給大家介紹的非常詳細(xì)，具有一定的參考借鑒價值 ,需要的朋友可以參考下2019-06-06