Crea certificati server

Prima di iniziare a configurare il router e i nodi del database, è necessario creare certificati server SSL. Per connettere nodi di database e router utilizzando SSL, è necessario disporre delle chiavi e dei certificati SSL corretti per una comunicazione sicura. Tutti i certificati devono essere riconosciuti da un'autorità di certificazione comune (CA). Se le chiavi e i certificati sono stati generati automaticamente durante l'installazione del database/router (o se sono autofirmati), la connessione potrebbe non riuscire. Solo i certificati autorizzati da una CA sono autorizzati a procedere ulteriormente.

Se la chiave server e i certificati autorizzati sono già disponibili, assicurarsi che i certificati dispongano delle autorizzazioni corrette e che siano stati inseriti nel percorso corretto per il nodo router/database.

Per la procedura di generazione di certificati SSL per il server, vedere: Creazione di certificati e chiavi SSL mediante OpenSSL

Task per la configurazione dei certificati SSL 1. Generare un certificato e una chiave separati per ogni nodo del database.

  1. Utilizzare lo stesso ca.pem, comune a tutti i nodi e router del database.

  2. Nel certificato server per i nodi del database, specificare il nome comune senza il nome di dominio. Per riferimento, vedere il nome comune nella Tabella 9-1 in Panoramica della configurazione SSL del cluster di database per la replica dei gruppi.

  3. Assicurarsi che il nome certificato e il nome file chiave del server corrispondano ai valori del nodo di database e del router corrispondenti.

  4. Per verificare i valori CN in ogni certificato server generato, richiamare openSSL utilizzando i seguenti comandi:

    openssl x509 -text -in ca.pem
openssl x509 -text -in server-cert.pem
openssl x509 -text -in client-cert.pem

    Il CN dell'emittente deve essere lo stesso per tutti. Il CN oggetto deve contenere solo il nome host senza il nome dominio.

  5. Dopo aver generato i certificati, verificarli in base al file CA.

  6. Copiare il certificato e il file della chiave generati nella directory di dati MySQL per ogni nodo del database e router. Assicurarsi di fornire l'autorizzazione di lettura a tutti gli utenti e di conservare l'autorizzazione di scrittura solo per il proprietario del file.

  7. Copiare il file ca.pem comune in ogni nodo e router e fornire le autorizzazioni di lettura a tutti gli utenti.