前提条件

从CA认证中心申请到正式的服务器、客户端的证书和密钥。当前只支持pem格式的SSL证书。（假设服务器的私钥为server.key，证书为server.crt，客户端的私钥为client.key，证书为client.crt，CA根证书名称为cacert.pem。）

背景信息

GaussDB 100支持SSL协议标准，SSL协议是一种安全性更高的协议标准，它加入了数字签名和数字证书来实现客户端和服务器的双向身份验证，保证了通信双方更加安全的数据传输。

GaussDB 100支持TLSv1.2协议标准，TLSv1.2协议是一种安全性更高的协议标准，他加入了数字签名和数字证书来实现客户端和服务器的双向身份验证，保证了通信双方更加安全的数据传输。

注意事项

该配置只针对本节点生效，不能分发到其他节点，因此需要在分布式数据库的各个节点分别开启SSL功能。

操作步骤

假设以“/gaussdb/data/data_cn”路径为例，在实际操作中请使用实际路径进行替换。

• 以DBA身份登录GaussDB 100数据库。

  zsql
  conn omm@192.168.0.1:8000
  Please enter password:
  ***********

  omm为安装后创建的系统管理员，其默认密码是gaussdb_123。192.168.0.1为CN所在的服务器IP地址，8000为连接的端口号。

• 配置SSL认证相关的数字证书参数，具体要求请参见表1。
  • 配置服务器端参数，参数设置完成后重启生效。

    alter system set SSL_CA = '/gaussdb/data/data_cn/cacert.pem';
    alter system set SSL_CERT = '/gaussdb/data/data_cn/server.crt';
    alter system set SSL_KEY = '/gaussdb/data/data_cn/server.key';
    alter system set SSL_VERIFY_PEER = TRUE;

  • 配置客户端参数。

    export ZSQL_SSL_CERT="/gaussdb/data/data_cn/client.crt"
    export ZSQL_SSL_KEY="/gaussdb/data/data_cn/client.key"
    export ZSQL_SSL_CA="/gaussdb/data/data_cn/cacert.pem"
    export ZSQL_SSL_MODE="preferred"

  从安全性考虑，建议使用双向认证方式。

  配置客户端环境变量，必须包含文件的绝对路径。

  表1 认证方式

  认证方式	含义	配置服务器端参数	配置客户端环境变量	维护建议
  双向认证（推荐）	客户端验证服务器证书的有效性，同时服务器端也要验证客户端证书的有效性，只有认证成功，连接才能建立。	将服务器证书、服务器私钥、废弃证书和根证书拷贝到$GAUSSHOME下，并设置如下参数： SSL_CA SSL_CERT SSL_KEY SSL_CRL（可选） SSL_KEY_PASSWORD（可选） SSL_VERIFY_PEER = TRUE	设置如下环境变量： ZSQL_SSL_CERT ZSQL_SSL_KEY ZSQL_SSL_CA ZSQL_SSL_CRL（可选） ZSQL_SSL_MODE	该方式应用于安全性要求较高的场景。使用此方式时，建议设置客户端的ZSQL_SSL_MODE变量为VERIFY_CA或VERIFY_FULL，服务器端的认证方式设定为SSL_VERIFY_PEER=TRUE，这样只有某些授权的客户端和服务器才能使用GaussDB 100服务器进行数据通信，确保了网络数据的安全性。如果设置SSL_VERIFY_PEER=FALSE，表示允许客户端不提供设备证书创建SSL连接，不推荐使用。
  单向认证	客户端只验证服务器证书的有效性，而服务器端不验证客户端证书的有效性。服务器加载证书信息并发送给客户端，客户端使用根证书来验证服务器端证书的有效性。	将服务器端证书和私钥文件拷贝到$GAUSSHOME下，并设置如下参数： SSL_CERT SSL_KEY	设置如下环境变量： ZSQL_SSL_CA ZSQL_SSL_CRL（可选） ZSQL_SSL_MODE	为防止基于TCP链接的欺骗，建议使用SSL证书认证功能。除配置服务器证书和私钥文件外，建议客户端使用ZSQL_SSL_MODE变量为VERIFY_CA或VERIFY_FULL方式连接。

• 以root用户身份登录GaussDB 100所在服务器，修改服务器密钥的权限。
  将证书server.crt、server.key、cacert.pem拷贝到/gaussdb/data/data_cn/目录下。需保证权限为600，属主为omm，属组为dbgrp。执行如下命令修改权限：

  cd /gaussdb/data/data_cn/
  chown omm:dbgrp server.crt server.key cacert.pem
  chmod 600 server.crt server.key cacert.pem

• 切换为omm。

  su - omm

• 如果配置了加密的私钥证书，还需要使用zencrypt工具生成加密密码密文（SSL_KEY_PASSWORD）。
  • 执行如下命令，生成加密密码密文（SSL_KEY_PASSWORD）。

    zencrypt -e aes256 -f jQ4IAgxiJR1ezCPrvtZLUQ== -k 
    8Vw4Gm2Ktu7B8XIzTlVRK9EOH+lpSNbIlhfVbaJ0RDdbgyUyHsYT6UxYGSEbZg7BXki6gSP8slEU8haWxiUgNg==

    --输入私钥证书的明文密码（以Aa123456为例），生成密码加密密文。
    Please enter password to encrypt: 
    ********
    Please input password again: 
    ********
    Cipher:         PLFJgfZwLSOJFRp6o7qsj604fFwPEu2MLxH7m/F/aMg=

    说明：

    • -e指使用AES算法(256位密钥)对产生的私钥加密，-f指的是_FACTOR_KEY的值，-k指的是LOCAL_KEY的值。-f和-K的值可参考配置SSL私钥加密密钥章节。
    • 私钥证书属于安全敏感数据，强烈建议用户使用加密的私钥证书加密，并定期更新Zenith加密密钥，保证数据安全性。
    • 加密密码复杂度与数据库密码要求一致。
    • 建议私钥加密长度不少于2048。
    • 重启集群操作会导致用户执行操作中断，请在操作之前规划好合适的执行窗口。
  • 数据库实例运行时，更新SSL私钥证书密码密文（以Aa123456为例），或者更新配置文件对应的配置选项：

    alter system set SSL_KEY_PASSWORD = 'PLFJgfZwLSOJFRp6o7qsj604fFwPEu2MLxH7m/F/aMg=';

• 重启GaussDB 100服务器使配置生效。

  如果需要配置环境变量，则需要重启daemon进程，原因是daemon是父进程，后续拉起的agent，下发的shell命令都是继承daemon的环境变量。

  如果要重启daemon进程，可以kill -9 +PID，这里有crontab任务会定时拉起daemon进程。

  gs_om -t stop && gs_om -t start