Serverzertifikate erstellen

Bevor Sie mit der Konfiguration des Routers und der Datenbankknoten beginnen, müssen Sie SSL-Serverzertifikate erstellen. Für die Verbindung von Datenbankknoten und Router mit SSL benötigen Sie die richtigen SSL-Schlüssel und Zertifikate für eine sichere Kommunikation. Alle Zertifikate müssen von einer gemeinsamen Zertifizierungsstelle (CA) anerkannt werden. Wenn die Schlüssel und Zertifikate während der Datenbank-/Routerinstallation automatisch generiert wurden (oder selbstsigniert sind), schlägt die Verbindung möglicherweise fehl. Nur Zertifikate, die von einer CA autorisiert wurden, dürfen weiter ausgeführt werden.

Wenn der autorisierte Serverschlüssel und die Zertifikate bereits verfügbar sind, stellen Sie sicher, dass die Zertifikate über die richtigen Berechtigungen verfügen und im richtigen Pfad für den Router/Datenbankknoten platziert wurden.

Die Schritte zum Generieren von SSL-Zertifikaten für Server finden Sie unter SSL-Zertifikate und Schlüssel mit OpenSSL erstellen.

Aufgaben zum Konfigurieren von SSL-Zertifikaten 1. Generieren Sie für jeden Datenbankknoten ein separates Zertifikat und einen separaten Schlüssel.

  1. Verwenden Sie denselben ca.pem, der für alle Datenbankknoten und Router verwendet wird.

  2. Geben Sie im Serverzertifikat für die Datenbankknoten den allgemeinen Namen ohne den Domainnamen an. Weitere Informationen finden Sie unter dem allgemeinen Namen in Tabelle 9-1 in Überblick über die SSL-Konfiguration des Datenbankclusters für die Gruppenreplikation.

  3. Stellen Sie sicher, dass der Zertifikatname und der Schlüsseldateiname des Servers mit den entsprechenden Datenbankknoten- und Routerwerten übereinstimmen.

  4. Um die CN-Werte in jedem generierten Serverzertifikat zu prüfen, rufen Sie openSSL mit den folgenden Befehlen auf:

    openssl x509 -text -in ca.pem
openssl x509 -text -in server-cert.pem
openssl x509 -text -in client-cert.pem

    Der Emittent CN muss für alle gleich sein. Der Betreff CN darf nur Hostnamen ohne Domainnamen enthalten.

  5. Nachdem Sie die Zertifikate generiert haben, prüfen Sie sie anhand der CA-Datei.

  6. Kopieren Sie das generierte Zertifikat und die Schlüsseldatei in das Datenverzeichnis MySQL für jeden Datenbankknoten und Router. Stellen Sie sicher, dass Sie allen Benutzern Leseberechtigungen erteilen und nur die Schreibberechtigung für den Dateieigentümer beibehalten.

  7. Kopieren Sie die allgemeine ca.pem-Datei auf jeden Knoten und Router, und stellen Sie allen Benutzern Leseberechtigungen bereit.