Estabelecimento de conexões TCP/IP seguras no modo SSL

Configurar uma conexão SSL

Pré-requisitos

• Depois de modificar os parâmetros de segurança e as modificações entrarem em vigor, o cluster poderá ser reiniciado, o que torna o cluster temporariamente indisponível.
• Para modificar a configuração de segurança do cluster, certifique-se de que as seguintes condições sejam atendidas:
  • O status do cluster é Available ou Unbalanced.
  • O Task Information não podem ser configurado como Creating snapshot, Scaling out, Configuring ou Restarting.

Procedimento

1. Faça logon no console de gerenciamento do GaussDB(DWS).
2. No painel de navegação à esquerda, clique em Clusters.
3. Na lista de clusters, clique no nome de um cluster. Na página exibida, clique em Security Settings.

   Por padrão, Configuration Status é Synchronized, o que indica que o último resultado do banco de dados é exibido.

4. Na área SSL Connection, ative Require SSL Connection (recomendado).

   indica que a função está ativada. A require_ssl é definida como 1, indicando que o servidor requer forçadamente a conexão SSL.

   indica que a função está desativada (valor padrão). O parâmetro require_ssl é definido como 0, indicando que o servidor não requer conexões SSL. Para obter detalhes sobre como configurar o parâmetro require_ssl, consulte require_ssl (Servidor).

   Figura 1 Conexão SSL
   
   

   • Se o cliente gsql ou driver ODBC fornecido pelo GaussDB(DWS) for usado, o GaussDB(DWS) suportará o protocolo SSL TLSv1.2.
   • Se o driver JDBC fornecido pelo GaussDB(DWS) for usado, o GaussDB(DWS) suporta protocolos SSL, como SSLv3, TLSv1, TLSv1.1 e TLSv1.2. O protocolo SSL usado entre o cliente e o banco de dados depende da versão do Java Development Kit (JDK) usada pelo cliente. Geralmente, o JDK suporta vários protocolos SSL.

5. Clique em Apply.

   O sistema salva automaticamente as configurações de conexão SSL. Na página Security Settings, o Configuration Status está Applying. Depois que Configuration Status for alterado para Synchronized, as configurações serão salvas e terão efeito.

Configurar parâmetros de certificado digital relacionados à autenticação SSL no cliente gsql

Depois que um cluster de armazém de dados é implementado, o modo de autenticação SSL é ativado por padrão. O certificado do servidor, a chave privada e o certificado raiz foram configurados por padrão. Você precisa configurar os parâmetros do cliente.

1. Faça logon no console de gerenciamento do GaussDB(DWS). No painel de navegação, escolha Client Connections.
2. Na área Driver, clique em download an SSL certificate.
   Figura 2 Baixar um certificado SSL
   

3. Use uma ferramenta de transferência de arquivos (como o WinSCP) para carregar o certificado SSL para o host onde o cliente está instalado.

   Por exemplo, salve o certificado baixado dws_ssl_cert.zip no diretório /home/dbadmin/dws_ssl/.

4. Use uma ferramenta de conexão remota SSH (como PuTTY) para fazer logon no host onde o cliente gsql está instalado e execute os seguintes comandos para ir para o diretório onde o certificado SSL está armazenado e descompactar o certificado SSL:

   cd /home/dbadmin/dws_ssl/
   unzip dws_ssl_cert.zip

5. Execute o comando de exportar e configure os parâmetros de certificado digital relacionados à autenticação SSL no host em que o cliente gsql está instalado.

   Existem dois modos de autenticação SSL: autenticação bidirecional e autenticação unidirecional. Diferentes modos de autenticação exigem diferentes variáveis de ambiente do cliente. Para mais detalhes, consulte Modos de autenticação SSL e parâmetros do cliente.

   Os seguintes parâmetros devem ser configurados para autenticação bidirecional:

   export PGSSLCERT="/home/dbadmin/dws_ssl/sslcert/client.crt"
   export PGSSLKEY="/home/dbadmin/dws_ssl/sslcert/client.key"
   export PGSSLMODE="verify-ca"
   export PGSSLROOTCERT="/home/dbadmin/dws_ssl/sslcert/cacert.pem"

   Os seguintes parâmetros devem ser configurados para autenticação unidirecional:

   export PGSSLMODE="verify-ca"
   export PGSSLROOTCERT="/home/dbadmin/dws_ssl/sslcert/cacert.pem"

   

   • É aconselhável usar autenticação bidirecional para fins de segurança.
   • As variáveis de ambiente configuradas para um cliente devem conter os caminhos de arquivo absolutos.

6. Altere as permissões da chave privada do cliente.

   As permissões no certificado raiz do cliente, chave privada, certificado e arquivo de chave privada criptografada devem ser 600. Se as permissões não atenderem ao requisito, o cliente não poderá se conectar ao cluster no modo SSL.

   chmod 600 client.key
   chmod 600 client.crt
   chmod 600 client.key.cipher
   chmod 600 client.key.rand
   chmod 600 cacert.pem

Modos de autenticação SSL e parâmetros do cliente

Existem dois modos de autenticação SSL: autenticação bidirecional e autenticação unidirecional. A tabela Tabela 1 mostra as diferenças entre esses dois modos. É aconselhável usar autenticação bidirecional para fins de segurança.

Configurar variáveis de ambiente relacionadas à autenticação SSL no cliente. Para mais detalhes, consulte Tabela 2.

O caminho das variáveis de ambiente é definido como /home/dbadmin/dws_ssl/ como um exemplo. Substitua-o pelo caminho real.

export PGSSLCERT='/home/dbadmin/dws_ssl/sslcert/client.crt'

export PGSSLKEY='/home/dbadmin/dws_ssl/sslcert/client.key'

export PGSSLROOTCERT='/home/dbadmin/dws_ssl/sslcert/certca.pem'

export PGSSLCRL='/home/dbadmin/dws_ssl/sslcert/sslcrl-file.crl'

Combinações de parâmetros de conexão SSL no cliente e no servidor

Se o cliente usa o modo de conexão de criptografia SSL e se deve verificar o certificado do servidor depende dos parâmetros do cliente sslmode e do servidor (cluster) ssl e require_ssl. Os parâmetros são os seguintes:

• ssl (servidor)
  O parâmetro ssl indica se a função SSL deve ser ativada. on indica que a função está ativada e off indica que a função está desativada.

  • O valor padrão é on e você não pode definir esse parâmetro no console de gerenciamento do GaussDB(DWS).
• require_ssl (servidor)
  O parâmetro require_ssl especifica se o servidor requer conexão SSL forçada. Esse parâmetro é válido somente quando ssl é definido como on. on indica que o servidor requer conexão SSL forçada. off indica que o servidor não requer conexão SSL.

  • O valor padrão é off. Você pode definir o parâmetro require_ssl na área Require SSL Connection da página Security Settings do cluster no console de gerenciamento do GaussDB(DWS).
• sslmode (cliente)
  Você pode definir esse parâmetro na ferramenta de cliente SQL.

  • No cliente de linha de comando gsql, esse parâmetro é o parâmetro PGSSLMODE.
  • No cliente do Data Studio, esse parâmetro é o parâmetro SSL Mode.

As combinações dos parâmetros cliente sslmode e servidor ssl e require_ssl são as seguintes.