MariaDB için Azure veritabanı 'nda SSL/TLS bağlantısı

  • Makale
  • Okumak için 2 dakika

MariaDB için Azure veritabanı, veritabanı sunucunuzu Güvenli Yuva Katmanı (SSL) kullanarak istemci uygulamalarına bağlamayı destekler. Veritabanı sunucunuzla istemci uygulamalarınız arasında SSL bağlantılarının zorunlu tutulması, sunucuya uygulamanız arasındaki veri akışını şifreleyerek "bağlantıyı izinsiz izleme" saldırılarına karşı korumaya yardımcı olur.

Not

Müşterilerin geri bildirimlerine bağlı olarak, var olan Baltidaha fazla kök CA 'sı için 15 Şubat 2021 (02/15/2021) tarihine kadar kök sertifikayı kullanımdan kaldırmayı genişlettik.

Önemli

SSL kök sertifikası 15 Şubat 2021 tarihinden itibaren sona ermek üzere ayarlanmıştır (02/15/2021). Lütfen uygulamanızı yeni sertifikayıkullanacak şekilde güncelleştirin. Daha fazla bilgi için bkz. planlı sertifika güncelleştirmeleri

Varsayılan ayarlar

Varsayılan olarak, veritabanı hizmeti MariaDB 'ye bağlanırken SSL bağlantıları gerektirecek şekilde yapılandırılmalıdır. Mümkün olduğunda SSL seçeneğini devre dışı bırakmaktan kaçınmanızı öneririz.

Azure portal ve CLı aracılığıyla MariaDB sunucusu için yeni bir Azure veritabanı sağlarken, SSL bağlantılarını zorlama varsayılan olarak etkinleştirilir.

Bazı durumlarda, uygulamalar güvenli bir şekilde bağlanmak için güvenilir bir sertifika yetkilisi (CA) sertifika dosyasından oluşturulan yerel bir sertifika dosyası gerektirir. Şu anda müşteriler, ' de bulunan MariaDB sunucusu için Azure veritabanı 'na bağlanmak üzere yalnızca önceden tanımlanmış sertifikayı kullanabilir https://www.digicert.com/CACerts/BaltimoreCyberTrustRoot.crt.pem .

Benzer şekilde, aşağıdaki bağlantılar, sogeign bulutlarındaki sunucular için sertifikaları işaret ediyor: Azure Kamu, Azure Çinve Azure Almanya.

Çeşitli programlama dilleri için bağlantı dizeleri Azure portal gösterilmektedir. Bu bağlantı dizeleri, veritabanınıza bağlanmak için gerekli SSL parametrelerini içerir. Azure portal, sunucunuzu seçin. Ayarlar başlığı altında bağlantı dizelerini seçin. SSL parametresi bağlayıcıya göre değişir; Örneğin, "SSL = true" veya "sslmode = gerektir" veya "sslmode = Required" ve diğer Çeşitlemeler.

Uygulama geliştirirken SSL bağlantısını etkinleştirme veya devre dışı bırakma hakkında bilgi edinmek için bkz. SSL 'yi yapılandırma.

MariaDB için Azure veritabanı 'nda TLS zorlaması

MariaDB için Azure veritabanı, Aktarım Katmanı Güvenliği (TLS) kullanarak veritabanı sunucunuza bağlanan istemciler için şifrelemeyi destekler. TLS, veritabanı sunucunuz ile istemci uygulamalarınız arasında güvenli ağ bağlantıları sağlayan ve uyumluluk gereksinimlerine bağlı olmanızı sağlayan bir endüstri standardı protokolüdür.

TLS ayarları

MariaDB için Azure veritabanı, istemci bağlantıları için TLS sürümünü zorlama olanağı sağlar. TLS sürümünü zorlamak için En düşük TLS sürümü seçenek ayarını kullanın. Bu seçenek ayarı için aşağıdaki değerlere izin verilir:

Minimum TLS ayarı İstemci TLS sürümü destekleniyor
TLSEnforcementDisabled (varsayılan) TLS gerekli değil
TLS1_0 TLS 1,0, TLS 1,1, TLS 1,2 ve üzeri
TLS1_1 TLS 1,1, TLS 1,2 ve üzeri
TLS1_2 TLS sürüm 1,2 ve üzeri

Örneğin, minimum TLS ayarı sürümü değerinin TLS 1,0 olarak ayarlanması, sunucunuzun TLS 1,0, 1,1 ve 1.2 + kullanarak istemcilerden gelen bağlantılara izin vermeyeceği anlamına gelir. Alternatif olarak, bunu 1,2 olarak ayarlamak yalnızca TLS 1.2 + kullanan istemcilerden gelen bağlantılara izin vermek ve TLS 1,0 ve TLS 1,1 ile tüm bağlantıların reddedilecektir.

Not

Varsayılan olarak, MariaDB için Azure veritabanı en düşük TLS sürümünü (ayarı TLSEnforcementDisabled ) zorlamaz.

En düşük TLS sürümünü zorladıktan sonra, en düşük sürüm zorlamayı devre dışı bırakabilirsiniz.

MariaDB için Azure veritabanınız için TLS ayarını ayarlama hakkında bilgi edinmek için bkz. TLS ayarlarını yapılandırma.

MariaDB için Azure veritabanı tarafından şifre desteği

SSL/TLS iletişiminin bir parçası olarak, şifre paketleri onaylanır ve veritabanı sunucusuyla iletişim kurmasına yalnızca şifre cinslarını destekler. Şifre paketi doğrulaması, ağ geçidi katmanında denetlenir ve doğrudan düğümün kendisinde değildir. Şifre paketleri aşağıda listelenen paketlerden biriyle eşleşmiyorsa, gelen istemci bağlantıları reddedilir.

Desteklenen şifre paketi

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

Sonraki adımlar