在 Aurora AWS 无服务器 MySQL 上启用 SSL答案

【问题标题】：Enable SSL on Aurora AWS Serverless MySQL在 Aurora AWS 无服务器 MySQL 上启用 SSL
【发布时间】：2020-10-20 17:35:53
【问题描述】：

我想设置一个从我的 Ubuntu 服务器到引擎版本为 5.7 的 Aurora Serverless MySQL 的加密连接，但是默认情况下，该服务上似乎禁用了 SSL。

show variables like '%ssl%';
| Variable_name | Value
                                                                                                                                                                                                                                                                                                
| have_openssl  | DISABLED                                                                                                                                                                                                                                                                                             |
| have_ssl      | DISABLED

这与 Aurora RDS 不同，后者使用 SSL 非常简单且默认启用。

这是错误：

mysql -h <cluster-endpoint> -u <username> -p --ssl-ca=rds-ca-2019-us-east-1-bundle.pem
Enter password:
ERROR 2026 (HY000): SSL connection error: error:00000001:lib(0):func(0):reason(1)

Mysql客户端版本

mysql  Ver 14.14 Distrib 5.7.31, for Linux (x86_64) using  EditLine wrapper

参数组设置为默认值。

错误似乎与此处解决的错误相似，但消息完全不同。

https://aws.amazon.com/premiumsupport/knowledge-center/rds-error-2026-ssl-connection/

无服务器文档的 TLS/SSL 似乎表明 RDS 和无服务器的用法基本相同。

https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/aurora-serverless.html#aurora-serverless.tls

我几乎是一个数据库新手，任何故障排除帮助将不胜感激。

【问题讨论】：

你读过这个吗？ docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/… 连接到 Aurora Serverless 时无需指定 CA 证书捆绑文件，因为它使用 AWS ACM SSL 证书。
让我对那个注释感到困惑的是，他们说“你不需要使用 RDS 证书”，这种语言让我相信它仍然适用于 RDS 捆绑包。 Aurora Serverless 是否仅适用于 ACM 生成的证书？为什么'have_ssl'变量仍然设置为禁用？
是的，您需要不指定捆绑文件（因为 ACM 根证书可能已经加载到您的服务器上）或指定 ACM 根证书捆绑，这与 RDS 根证书不同捆绑包（在我链接的那个页面的底部有一个指向这个文件的链接）。

标签： mysql amazon-web-services ssl amazon-aurora aws-aurora-serverless

【解决方案1】：

关于 Aurora Serverless，您需要了解两件重要的事情。

强烈推荐使用 SSL，它是建立新连接的首选。所以你不需要对此做任何事情。您绝对不需要下载 SSL/TLS 证书，事实上您也不应该。让证书在 Aurora 上轮换和管理。它让您的生活更简单。
根据官方文档 [1] - 检查 have_openssl 或 have_ssl 不是验证您的连接是否使用 SSL 的正确方法。您需要使用--ssl-mode 参数来验证。

[1]https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/aurora-serverless.html#aurora-serverless.tls

您可以确保您的会话在您的客户端和 Aurora Serverless VPC 终端节点。为此，请指定要求带有 --ssl-mode 参数的客户端。

【讨论】：