创建服务器证书

在开始配置路由器和数据库节点之前，您需要创建 SSL 服务器证书。要使用 SSL 连接数据库节点和路由器，必须具有正确的 SSL 密钥和证书才能进行安全通信。所有证书必须得到共同认证机构 (CA) 的认可。如果密钥和证书是在数据库/路由器安装期间自动生成的（或者是自签名密钥），则连接可能会失败。只允许 CA 授权的证书继续操作。

如果已授权的服务器密钥和证书可用，请确保证书具有正确的权限，并且已放置在路由器/数据库节点的正确路径中。

有关为服务器生成 SSL 证书的步骤，请参见 Creating SSL Certificates and Keys Using OpenSSL

配置 SSL 证书 1 的任务。为每个数据库节点生成单独的证书和密钥。

  1. 使用所有数据库节点和路由器通用的相同 ca.pem。

  2. 在数据库节点的服务器证书中，指定不具有域名的公用名称。有关参考，请参见 Overview of Database Cluster SSL Configuration for Group Replication 中的 Table 9-1 中的公用名称。

  3. 确保服务器证书名称和密钥文件名与对应的数据库节点和路由器值匹配。

  4. 要验证每个生成的服务器证书中的 CN 值，请使用以下命令调用 openSSL：

    openssl x509 -text -in ca.pem
openssl x509 -text -in server-cert.pem
openssl x509 -text -in client-cert.pem

    发卡行 CN 对于所有发卡行必须相同。主题 CN 只能包含不带域名的主机名。

  5. 生成证书后，根据 CA 文件验证它们。

  6. 将生成的证书和密钥文件复制到每个数据库节点和路由器的 MySQL 数据目录。确保向所有用户提供读取权限，并仅保留对文件所有者的写入权限。

  7. 将公用 ca.pem 复制到每个节点和路由器，并向所有用户提供读取权限。