サーバー証明書の作成

ルーターおよびデータベース・ノードの構成を開始する前に、SSLサーバー証明書を作成する必要があります。SSLを使用してデータベース・ノードおよびルーターを接続するには、セキュアな通信のために適切なSSLキーおよび証明書が必要です。すべての証明書、共通認証局(CA)によって認識される必要があります。データベース/ルーターのインストール中にキーおよび証明書が自動生成された場合(または自己署名された場合)、接続が失敗する可能性があります。続行できるのは、CAによって承認された証明書のみです。

認可されたサーバー・キーおよび証明書がすでに使用可能な場合は、証明書に正しい権限があり、ルーター/データベース・ノードの正しいパスに配置されていることを確認します。

サーバーのSSL証明書を生成するステップは、OpenSSLを使用したSSL証明書およびキーの作成を参照してください。

SSL証明書1を構成するためのタスク。データベース・ノードごとに個別の証明書とキーを生成します。

  1. すべてのデータベース・ノードおよびルーターに共通する同じca.pemを使用します。

  2. データベース・ノードのサーバー証明書で、ドメイン名なしで共通名を指定します。詳細は、「Group Replication用のデータベース・クラスタSSL構成の概要」の表9-1の共通名を参照してください。

  3. サーバーの証明書名およびキー・ファイル名が、対応するデータベース・ノードおよびルーターの値と一致していることを確認します。

  4. 生成された各サーバー証明書のCN値を検証するには、次のコマンドを使用してopenSSLを起動します:

    openssl x509 -text -in ca.pem
openssl x509 -text -in server-cert.pem
openssl x509 -text -in client-cert.pem

    発行者CNは、すべて同じである必要があります。サブジェクトCNには、ドメイン名のないホスト名のみを含める必要があります。

  5. 証明書を生成した後、CAファイルと照合して検証します。

  6. 生成された証明書およびキー・ファイルを、各データベース・ノードおよびルーターのMySQLデータ・ディレクトリにコピーします。すべてのユーザーに読取り権限を付与し、ファイル所有者のみに書込み権限を保持していることを確認してください。

  7. すべてのノードおよびルーターに共通ca.pemをコピーし、すべてのユーザーに読取り権限を付与します。