注意事项

• SSL的证书有效期为1年，请及时更新证书有效期并重新下载配置CA证书，否则使用加密连接的客户端程序将无法正常连接。
• 由于SSL加密的实现原理，启用SSL加密会显著增加CPU使用率，建议您仅在外网链路有加密需求的时候启用SSL加密。内网链路相对较安全，一般无需对链路加密。
• 读写分离地址不支持SSL加密。
• 关闭SSL加密会重启实例，请谨慎操作。

开启SSL加密

1. 进入数据安全性页面。
   1. 登录RDS管理控制台，在左侧单击实例列表，然后在上方选择地域。
      
   2. 单击目标实例ID，在左侧导航栏单击数据安全性。
2. 选择SSL标签页。
3. 单击未开通前面的滑块开关。
4. 在弹出的对话框中选择要开通SSL加密的地址，单击确定，开通SSL加密。
   说明 用户可以根据需要，选择加密内网链路或者外网链路，但只可以加密一条链路。

   
5. 单击下载证书，下载SSL CA证书。
   

   下载的文件为压缩包，包含如下三个文件：

   • p7b文件：用于Windows系统中导入CA证书。
   • PEM文件：用于其他系统或应用中导入CA证书。
   • JKS文件：Java中的truststore证书存储文件，密码统一为apsaradb，用于Java程序中导入CA证书链。
     说明 在Java中使用JKS证书文件时，jdk7和jdk8需要修改默认的jdk安全配置，在应用程序所在主机的jre/lib/security/java.security文件中，修改如下两项配置：

     jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224 jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

     若不修改jdk安全配置，会报如下错误。其它类似报错，一般也都由Java安全配置导致。

     javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

配置SSL CA证书

开通SSL加密后，应用或者客户端连接RDS时需要配置SSL CA证书。本文以MySQL Workbench和Navicat为例，介绍SSL CA证书安装方法。其它应用或者客户端请参见对应产品的使用说明。

MySQL Workbench配置方法

1. 打开MySQL Workbench。
2. 选择Database > Manage Connections。
3. 启用Use SSL，并导入SSL CA证书。
   

Navicat配置方法

1. 打开Navicat。
2. 在目标数据库上单击鼠标右键，选择编辑连接。
   
3. 选择SSL页签，选择.pem格式CA证书的路径。参照下图进行设置。
   
4. 单击确定。
   说明 如果报connection is being used错误，是由于之前的会话未断开，请关闭Navicat重新打开。
5. 双击目标数据库测试能否正常连接。
   

更新证书有效期

关闭SSL加密

1. 在左侧菜单栏中单击数据安全性。
2. 选择SSL标签页。
3. 单击已开通前面的开关，在弹出的提示框中单击确定。

我公司为阿里云代理商，为您提供一对一专业全面的技术服务，通过此页面下单购买，新老阿里云会员，均可享受我公司代理商价格！