前提条件

实例版本如下：

• MySQL 8.0高可用版
• MySQL 5.7高可用版
• MySQL 5.6

注意事项

• SSL的证书有效期为1年，请及时更新证书有效期并重新下载配置CA证书，否则使用加密连接的客户端程序将无法正常连接。
• 由于SSL加密的固有缺陷，启用SSL加密会显著增加CPU使用率，建议您仅在外网链路有加密需求的时候启用SSL加密。内网链路相对较安全，一般无需对链路加密。
• 读写分离地址不支持SSL加密。
• 关闭SSL加密会重启实例，请谨慎操作。

开启SSL加密

1. 登录 RDS 管理控制台。
2. 在页面左上角，选择实例所在地域。
3. 找到目标实例，单击实例ID。
4. 在左侧菜单栏中单击数据安全性。
5. 选择SSL标签页。
6. 单击未开通前面的开关，如下图所示。
   
7. 在设置 SSL对话框中选择要开通SSL加密的链路，单击确定，开通 SSL 加密。
   说明 用户可以根据需要，选择加密内网链路或者外网链路，但只可以加密一条链路。
   
8. 单击下载证书，下载SSL CA证书，如下图所示。
   

   下载的文件为压缩包，包含如下三个文件：

   • p7b文件：用于Windows系统中导入CA证书。

   • PEM文件：用于其他系统或应用中导入CA证书。

   • JKS文件：java中的truststore证书存储文件，密码统一为apsaradb，用于Java程序中导入CA证书链。

     说明 在java中使用JKS证书文件时，jdk7和jdk8需要修改默认的jdk安全配置，在需要SSL访问的数据库所在机器的jre/lib/security/java.security文件中，修改如下两项配置：

     jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
     jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

     若不修改jdk安全配置，会报如下错误。其它类似报错，一般也都由Java安全配置导致。

     javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

配置SSL CA证书

开通SSL加密后，应用或者客户端连接RDS时需要配置SSL CA证书。本文以MySQL Workbench和Navicat为例，介绍SSL CA证书安装方法。其它应用或者客户端请参见对应产品的使用说明。

MySQL Workbench配置方法

1. 打开MySQL Workbench。
2. 选择Database > Manage Connections 。
3. 启用Use SSL，并导入SSL CA证书，如下图所示。
   

Navicat配置方法

1. 打开Navicat。
2. 在目标数据库上单击鼠标右键，选择编辑连接 。
3. 选择SSL页签，选择.pem格式CA证书的路径。参照下图进行设置。
4. 单击确定。
   说明 如果报connection is being used错误，是由于之前的会话未断开，请关闭Navicat重新打开。
5. 双击目标数据库测试能否正常连接。

更新证书有效期

关闭SSL加密

1. 登录 RDS 管理控制台。
2. 在页面左上角，选择实例所在地域。
3. 找到目标实例，单击实例ID。
4. 在左侧菜单栏中单击数据安全性。
5. 选择SSL标签页。
6. 单击已开通前面的开关，在弹出的提示框中单击确定。

常见问题

SSL证书到期后不更新会有什么影响？会影响实例运行或数据安全吗？

SSL证书到期后不更新，仅会导致使用加密连接的客户端程序无法正常连接实例，不会影响实例运行或数据安全。