连接数据库(以SSL方式)

用户通过JDBC连接openGauss服务器时,可以通过开启SSL加密客户端和服务器之间的通讯,为敏感数据在Internet上的传输提供了一种安全保障手段。本小节主要介绍应用程序通过JDBC如何采用SSL的方式连接openGauss。在使用本小节所描述的方法前,默认用户已经获取了服务端和客户端所需要的证书和私钥文件,关于证书等文件的获取请参考Openssl相关文档和命令 。

服务端配置

当开启SSL模式后,必须提供根证书、服务器证书和私钥。

配置步骤(假设用户的证书文件放在数据目录/gaussdb/data/datanode下,且采用默认文件名):

  1. 以操作系统用户omm登录数据库主节点。

  2. 生成并配置证书

    生成SSL证书,具体请参见证书生成。将生成出的文件server.crt,server.key,cacert.pem拷贝到服务端数据目录下。

    使用如下命令可以查询数据库节点的数据目录,instance列为数据目录。

    1. gs_om -t status --detail

    在Unix系统上,server.crt、server.key的权限设置必须禁止任何外部或组的访问,请执行如下命令实现这一点。

    1. chmod 0600 server.key
  3. 开启SSL认证模式。

    1. gs_guc set -D /gaussdb/data/datanode -c "ssl=on"
  4. 配置客户端接入认证参数,IP为所要连接的主机IP。

    1. gs_guc reload -D /gaussdb/data/datanode -h "hostssl all all 127.0.0.1/32 cert"
    2. gs_guc reload -D /gaussdb/data/datanode -h "hostssl all all IP/32 cert"

    表示允许127.0.0.1/32网段的客户端以ssl认证方式连接到openGauss服务器。

    连接数据库(以SSL方式) - 图1 须知:
    如果服务端pg_hba.conf文件中METHOD配置为cert,则只有客户端使用证书(client.crt)中所设置的用户名(common name)才能够成功连接数据库。如果设置为md5或sha256则对连接数据库的用户没有限制。

  5. 配置SSL认证相关的数字证书参数。

    各命令后所附为设置成功的回显。

    1. gs_guc set -D /gaussdb/data/datanode -c "ssl_cert_file='server.crt'"
    2. gs_guc set: ssl_cert_file='server.crt'
    1. gs_guc set -D /gaussdb/data/datanode -c "ssl_key_file='server.key'"
    2. gs_guc set: ssl_key_file='server.key'
    1. gs_guc set -D /gaussdb/data/datanode -c "ssl_ca_file='cacert.pem'"
    2. gs_guc set: ssl_ca_file='cacert.pem'
  6. 重启数据库。

    1. gs_om -t stop && gs_om -t start
  7. 生成并上传证书文件

客户端配置

配置步骤如下:

上传证书文件,将在服务端配置章节生成出的文件client.key.pk8,client.crt,cacert.pem放置在客户端。

示例

  1. import java.sql.Connection;
  2. import java.util.Properties;
  3. import java.sql.DriverManager;
  4. import java.sql.Statement;
  5. import java.sql.ResultSet;
  6. public class SSL{
  7. public static void main(String[] args) {
  8. Properties urlProps = new Properties();
  9. String urls = "jdbc:postgresql://10.29.37.136:8000/postgres";
  10. /**
  11. * ================== 示例1 使用NonValidatingFactory通道,pg_hba.conf文件中MTETHOD不为cert
  12. */
  13. /*
  14. urlProps.setProperty("sslfactory","org.postgresql.ssl.NonValidatingFactory");
  15. urlProps.setProperty("user", "world");
  16. //此处的test@123为创建用户CRETAE USER world WITH PASSWORD 'test123@'时指定的密码
  17. urlProps.setProperty("password", "test@123");
  18. urlProps.setProperty("ssl", "true");
  19. */
  20. /**
  21. * ================== 示例2 - 5 使用证书,pg_hba.conf文件中MTETHOD为cert
  22. */
  23. urlProps.setProperty("sslcert", "client.crt");
  24. // DER格式的客户端秘钥
  25. urlProps.setProperty("sslkey", "client.key.pk8");
  26. urlProps.setProperty("sslrootcert", "cacert.pem");
  27. urlProps.setProperty("user", "world");
  28. /* ================== 示例2 设置ssl为true,使用证书认证 */
  29. urlProps.setProperty("ssl", "true");
  30. /* ================== 示例3 设置sslmode为require,使用证书 */
  31. // urlProps.setProperty("sslmode", "require");
  32. /* ================== 示例4 设置sslmode为verify-ca,使用证书 */
  33. // urlProps.setProperty("sslmode", "verify-ca");
  34. /* ================== 示例5 设置sslmode为verify-full,使用证书(Linux下验证) */
  35. // urls = "jdbc:postgresql://world:8000/postgres";
  36. // urlProps.setProperty("sslmode", "verify-full");
  37. try {
  38. Class.forName("org.postgresql.Driver").newInstance();
  39. } catch (Exception e) {
  40. e.printStackTrace();
  41. }
  42. try {
  43. Connection conn;
  44. conn = DriverManager.getConnection(urls,urlProps);
  45. conn.close();
  46. } catch (Exception e) {
  47. e.printStackTrace();
  48. }
  49. }
  50. }