云数据库 RDS：配置客户端CA证书

步骤一：获取客户端证书

本文以CentOS系统配置为例，如果您使用Windows操作系统，操作步骤中的openssl命令与CentOS系统中的openssl命令配置相同。

1. 生成自签名证书（client-ca.crt）和自签名证书私钥（client-ca.key）。

   openssl req -new -x509 -days 3650 -nodes -out client-ca.crt -keyout client-ca.key -subj "/CN=root-client-ca"

2. 生成客户端证书请求文件（client.csr）和客户端证书私钥（client.key）。

   openssl req -new -nodes -text -out client.csr -keyout client.key -subj "/CN=<客户端用户名>"

   说明

   该命令中-subj参数后的CN取值请配置为客户端访问数据库的用户名。

3. 生成客户端证书（client.crt）。

   openssl x509 -req -in client.csr -text -days 365  -CA client-ca.crt -CAkey client-ca.key -CAcreateserial  -out client.crt

# ls
client-ca.crt  client-ca.key  client-ca.srl  client.crt  client.csr  client.key

步骤二：配置客户端CA证书

1. 访问RDS实例列表，在上方选择地域，然后单击目标实例ID。

2. 进入数据安全性>SSL页面。

3. 单击启用客户端CA证书。

   

4. 将自签名证书文件（client-ca.crt）内容填写到对话框中。然后单击确定按钮。

   说明

   自签名证书文件（client-ca.crt）获取请参见步骤一：获取客户端证书。请填写-----BEGIN CERTIFICATE-----至-----END CERTIFICATE-----间的内容，包括BEGIN和END部分。

   

步骤三：客户端连接数据库

RDS PostgreSQL数据库支持通过SSL远程连接，具体请参见SSL连接RDS PostgreSQL数据库。

步骤四：（可选）配置证书吊销文件

如果您不再使用某一客户端证书时，可以将客户端证书吊销，数据库将拒绝此客户端登录。

1. 配置文件准备。

   touch /etc/pki/CA/index.txt
   echo 1000 > /etc/pki/CA/crlnumber

   说明

   如果您使用Windows系统，需要按照如下步骤操作：

   1. 在OpenSSL安装目录\bin目录下创建CA文件夹。

   2. 在CA文件夹内创建index.txt文件。

   3. 命令行执行如下命令：

      echo 1000 > <OpenSSL安装目录>\bin\CA\crlnumber

   4. 修改C:\Program Files\Common Files\SSL\目录下中的openssl.cnf文件。

      # 找到[ CA_default ]配置项
      
      dir = "<OpenSSL安装目录>\\bin\\CA"

2. 吊销客户端证书（client.crt）。

   openssl ca -revoke client.crt -cert client-ca.crt -keyfile client-ca.key

   说明

   该命令需要使用到自签名证书（client-ca.crt）及自签名证书私钥（client-ca.key），请参见步骤一：获取客户端证书。

3. 生成证书吊销文件（client.crl）。

   openssl ca -gencrl -out client.crl -cert ca.crt -keyfile ca.key

4. 进入数据安全性>SSL页面。

5. 单击启用证书吊销文件。

   

6. 将证书吊销文件（client.crl）内容填写到对话框中。

   

步骤五：（可选）更新客户端证书