建立伺服器憑證

開始設定路由器和資料庫節點之前，您需要先建立 SSL 伺服器憑證。若要使用 SSL 連線資料庫節點和路由器，您必須要有正確的 SSL 金鑰和憑證，才能進行安全通訊。所有憑證都必須由通用憑證授權機構 (CA) 認可。如果在資料庫 / 路由器安裝期間自動產生金鑰和憑證 (或是它們是自行簽署的)，則連線可能會失敗。只有經 CA 授權的憑證才能夠繼續進行。

如果已授權的伺服器金鑰和憑證可供使用，請確定憑證具有正確的權限，並已置於路由器 / 資料庫節點的正確路徑中。

如需為伺服器產生 SSL 憑證的步驟，請參閱： Creating SSL Certificates and Keys Using OpenSSL 。

設定 SSL 憑證 1 的工作。為每個資料庫節點產生個別的憑證和金鑰。

  1. 使用所有資料庫節點和路由器通用的相同 ca.pem。

  2. 在資料庫節點的伺服器憑證中，指定沒有網域名稱的一般名稱。請參閱群組複製的資料庫叢集 SSL 組態簡介中的表格 9-1 一般名稱，以瞭解詳細資訊。

  3. 確定伺服器憑證名稱和金鑰檔案名稱與對應的資料庫節點和路由器值相符。

  4. 若要驗證每個產生之伺服器憑證中的 CN 值，請使用下列命令呼叫 openSSL：

    openssl x509 -text -in ca.pem
openssl x509 -text -in server-cert.pem
openssl x509 -text -in client-cert.pem

    所有人的發行者 CN 必須相同。主體 CN 只能包含沒有網域名稱的主機名稱。

  5. 產生憑證之後，請驗證 CA 檔案的憑證。

  6. 將產生的憑證和金鑰檔案複製到每個資料庫節點和路由器的 MySQL 資料目錄中。請確定您提供所有使用者的讀取權限，並且僅保留檔案擁有者的寫入權限。

  7. 將通用 ca.pem 複製到每個節點和路由器，並為所有使用者提供讀取權限。