MySQL使用客户端证书登录

港控/mmm° 2024-03-24 13:57 44阅读 0赞

### 如何生成生成证书? ###

使用 openssl req 创建 X.509 证书,下面的命令创建有效期10年的私钥, 生成2个文件:

私钥 wfs-key.pem 和请求证书 wfs-req.pem

openssl req -newkey rsa:2048 -days 3650 -nodes -keyout wfs-key.pem -out wfs-req.pem
    Country Name (2 letter code) [XX]:CN
    Locality Name (eg, city) [Default City]:KS
    Organization Name (eg, company) [Default Company Ltd]:ECI
    #其他输出略

**生成公钥 ca.pem/ca-key.pem (数据库服务器的自签名的 CA 证书 和 CA 私钥)**

#必须在数据库服务器上执行
    openssl x509 -req -in wfs-req.pem -days 3650 -CA /var/lib/mysql/ca.pem -CAkey /var/lib/mysql/ca-key.pem -set_serial 01 -out wfs-cert.pem

**校验公钥的有效性 (注: server-cert.pem 是服务器证书)**

openssl verify -CAfile /var/lib/mysql/ca.pem /var/lib/mysql/server-cert.pem wfs-cert.pem

### 创建只有证书没有密码的账号 ###

需要先卸载  
component\_validate\_password 组件后才能创建无密码的账号

use mysql
    select * from component;
    uninstall component 'file://component_validate_password';
    CREATE USER wfs REQUIRE SUBJECT '/C=CN/L=KS/O=ECI';

### 使用证书登录 ###

这3个文件可用于其他机器 MySQL 客户端或 navicat 使用证书登录

#使用mysql客户端登录
    mysql -h 192.168.55.44 -uwfs --ssl-cert wfs-cert.pem --ssl-key wfs-key.pem -p --ssl_ca=/var/lib/mysql/ca.pem
    #使用证书登录 mysqlsh
    mysqlsh mysql://wfs@192.168.55.44 --ssl-cert wfs-cert.pem --ssl-key wfs-key.pem

使用navicat 登录的话在登录窗口 ssl 页面处分别填入 key, cert, ca

### 补充:测试下三种认证方式 X509, SSL, none的区别 ###

create user test_x509 identified by '123456' require X509;
    
    create user test_any identified by '123456' require ssl;
    
    create user test_none identified by '123456' require none;
    
    select user,ssl_type from mysql.user;

三个账号 ssl\_type 分别为 X509, ANY, 空(默认是require none， 也就是说不写 require字句的话默认是空)

### 登录 ###

client-cert.pem 和 client-key.pem 在数据库目录

mysql -h 192.168.55.44 -utest_x509 -p123456 --ssl-cert client-cert.pem --ssl-key client-key.pem
    
    mysql -h 192.168.55.44 -utest_any -p123456
    
    mysql -h 192.168.55.44 -utest_none -p123456 --ssl-mode=DISABLED

### 总结 ###

三个账号均可以使用参数 --ssl-cert --ssl-key 登录, 登录后输入 \\s 可以看到使用了 ssl,

test\_x509 必须使用参数 --ssl-cert --ssl-key 登录, 否则不能登录

test\_any, test\_none 可以使用密码登录, 登录后输入 \\s 可以看到使用了 ssl,

test\_none 可以使用 --ssl-mode=DISABLED, 登录后输入 \\s 显示 ssl 未使用,

test\_any 不可以使用参数 --ssl-mode=DISABLED

test\_none在服务器上通过 IP/127.0.0.1/主机名 登录时, 登录后输入 \\s 可以看到使用了 ssl 且通过tcp协议, 通过 localhost 或不指定-h 登录时, 登录后输入 \\s 可以看到是通过了socket连接,未使用ssl