サーバー側では、--ssl オプションは、サーバーが暗号化された接続を許可するが必要としないことを指定します。 このオプションはデフォルトで有効になっているため、明示的に指定する必要はありません。

クライアントが暗号化された接続を使用して接続することを要求するには、require_secure_transport システム変数を有効にします。 暗号化された接続の必須としての構成を参照してください。

サーバー側の次のシステム変数は、クライアントに暗号化された接続の確立を許可するときにサーバーが使用する証明書および鍵ファイルを指定します:

たとえば、サーバーで暗号化された接続を有効にするには、my.cnf ファイルの次の行でサーバーを起動し、必要に応じてファイル名を変更します:

[mysqld]
ssl_ca=ca.pem
ssl_cert=server-cert.pem
ssl_key=server-key.pem

暗号化された接続を使用するためにクライアントが必要であることを指定するには、require_secure_transport システム変数を有効にします:

[mysqld]
ssl_ca=ca.pem
ssl_cert=server-cert.pem
ssl_key=server-key.pem
require_secure_transport=ON

各証明書およびキーシステム変数は、PEM 形式のファイルに名前を付けます。 必要な証明書およびキーファイルを作成する必要がある場合は、セクション6.3.3「SSL および RSA 証明書とキーの作成」 を参照してください。 OpenSSL を使用してコンパイルされた MySQL サーバーは、起動時に欠落している証明書およびキーファイルを自動的に生成できます。 セクション6.3.3.1「MySQL を使用した SSL および RSA 証明書とキーの作成」を参照してください。 または、MySQL ソース配布がある場合は、その mysql-test/std_data ディレクトリにあるデモンストレーション証明書およびキーファイルを使用して設定をテストできます。

サーバーは証明書と鍵ファイルの自動検出を実行します。 暗号化された接続を構成するために、--ssl 以外の明示的な encrypted-connection オプションが (ssl_cipher とともに) 指定されていない場合、サーバーは起動時に自動的に encrypted-connection サポートを有効にしようとします:

サーバーが自動的に暗号化された接続サポートを有効にすると、エラーログにノートが書き込まれます。 CA 証明書が自己署名証明書であることがサーバーで検出されると、エラーログに警告が書き込まれます。 (サーバーによって自動的に作成された場合、または mysql_ssl_rsa_setup を使用して手動で作成された場合、証明書は自己署名されます。)

MySQL には、サーバー側の暗号化された接続制御用の次のシステム変数も用意されています:

サーバーがサーバー側の暗号化された接続制御用のシステム変数から有効な TLS コンテキストを作成できない場合、サーバーは暗号化された接続をサポートしません。

MySQL 8.0.16 より前は、暗号化された接続サポートを構成する tls_xxx および ssl_xxx システム変数は、サーバーの起動時にのみ設定できます。 したがって、これらのシステム変数は、サーバーがすべての新しい接続に使用する TLS コンテキストを決定します。

MySQL 8.0.16 の時点では、tls_xxx および ssl_xxx システム変数は動的であり、起動時だけでなく実行時に設定できます。 SET GLOBAL を使用して変更した場合、新しい値はサーバーが再起動するまで適用されません。 SET PERSIST を使用して変更した場合、新しい値も後続のサーバーの再起動に引き継がれます。 セクション13.7.6.1「変数代入の SET 構文」を参照してください。 ただし、このセクションの後半で説明するように、これらの変数を実行時に変更しても、新しい接続の TLS コンテキストにすぐには影響しません。

TLS コンテキスト関連のシステム変数に対する実行時の変更を可能にする MySQL 8.0.16 の変更に加えて、サーバーは、新しい接続に使用される実際の TLS コンテキストに対する実行時の更新を可能にします。 この機能は、SSL 証明書が期限切れになるまで実行されている MySQL サーバーを再起動しないようにする場合などに役立ちます。

初期 TLS コンテキストを作成するために、サーバーは起動時にコンテキスト関連のシステム変数が持つ値を使用します。 コンテキスト値を公開するために、サーバーは対応するステータス変数のセットも初期化します。 次のテーブルに、TLS コンテキストを定義するシステム変数と、現在アクティブなコンテキスト値を公開する対応するステータス変数を示します。

実行時に TLS コンテキストを再構成するには、次の手順を使用します:

システム変数とステータス変数の各ペアのメンバーは、再構成手順の動作によって一時的に異なる値を持つ場合があります:

場合によっては、システム変数を変更せずに TLS コンテキストを再構成するには、ALTER INSTANCE RELOAD TLS 自体で十分です。 ssl_cert によって指定されたファイル内の証明書の有効期限が切れているとします。 既存のファイルの内容を期限切れでない証明書に置き換え、ALTER INSTANCE RELOAD TLS を実行して新しいファイルの内容を読み取り、新しい接続に使用するだけで十分です。

MySQL 8.0.21 の時点では、サーバーは管理接続インタフェースの独立した接続暗号化構成を実装します。 暗号化された接続に対する管理インタフェースのサポートを参照してください。 また、TLS コンテキストをリロードするチャネル (インタフェース) を指定できる FOR CHANNEL 句を使用して、ALTER INSTANCE RELOAD TLS が拡張されます。 セクション13.1.5「ALTER INSTANCE ステートメント」を参照してください。 管理インタフェース TLS コンテキストを公開するステータス変数はありませんが、パフォーマンススキーマ tls_channel_status テーブルはメインインタフェースと管理インタフェースの両方の TLS プロパティーを公開します。 セクション27.12.19.11「tls_channel_status テーブル」を参照してください。

メインインタフェース TLS コンテキストを更新すると、次の効果があります:

デフォルトでは、RELOAD TLS アクションはエラーでロールバックされ、構成値で新しい TLS コンテキストの作成が許可されていない場合は影響しません。 以前のコンテキスト値は、引き続き新しい接続に使用されます。 オプションの NO ROLLBACK ON ERROR 句が指定され、新しいコンテキストを作成できない場合、ロールバックは発生しません。 代わりに、警告が生成され、ステートメントが適用されるインタフェース上の新しい接続の暗号化が無効になります。

接続インタフェースで暗号化された接続を有効または無効にするオプションは、起動時にのみ有効になります。 たとえば、--ssl および --admin-ssl オプションは、メインインタフェースと管理インタフェースが暗号化された接続をサポートしているかどうかにかかわらず、起動時にのみ影響します。 このようなオプションは無視され、実行時の ALTER INSTANCE RELOAD TLS の操作には影響しません。 たとえば、--ssl=OFF を使用して、メインインタフェースで暗号化された接続を無効にしてサーバーを起動し、TLS を再構成して ALTER INSTANCE RELOAD TLS を実行し、実行時に暗号化された接続を有効にできます。

暗号化された接続の確立に関連するクライアントオプションの完全なリストは、暗号化接続のコマンドオプション を参照してください。

デフォルトでは、サーバーが暗号化された接続をサポートしている場合、MySQL クライアントプログラムは暗号化された接続を確立しようとし、--ssl-mode オプションを使用してさらに制御できます:

サーバー側で require_secure_transport システム変数が有効になっていて、サーバーが暗号化された接続を要求する場合、暗号化されていない接続を確立しようとすると失敗します。 暗号化された接続の必須としての構成を参照してください。

クライアント側の次のオプションは、クライアントがサーバーへの暗号化された接続を確立するときに使用する証明書および鍵ファイルを識別します。 これらは、サーバー側で使用される ssl_ca、ssl_cert および ssl_key システム変数に似ていますが、--ssl-cert および --ssl-key はクライアントの公開キーと秘密キーを識別します:

デフォルトの暗号化で提供されるものと比較してセキュリティを強化するために、クライアントはサーバーで使用されるものと一致する CA 証明書を提供し、ホスト名のアイデンティティ検証を有効にできます。 このようにして、サーバーとクライアントは同じ CA 証明書に信頼を配置し、クライアントは接続先のホストが意図したものであることを確認します:

MySQL には、クライアント側の SSL 制御用に次のオプションも用意されています:

クライアントで使用される MySQL アカウントの暗号化要件によっては、クライアントは、暗号化を使用して MySQL サーバーに接続するための特定のオプションを指定する必要がある場合があります。

特別な暗号化要件がないアカウント、または REQUIRE SSL 句を含む CREATE USER ステートメントを使用して作成されたアカウントを使用して接続するとします。 サーバーが暗号化された接続をサポートしていると仮定すると、クライアントは --ssl-mode オプションなしで暗号化を使用して、または明示的な --ssl-mode=PREFFERED オプションを使用して接続できます:

mysql

または:

mysql --ssl-mode=PREFERRED

REQUIRE SSL 句を使用して作成されたアカウントでは、暗号化された接続を確立できない場合、接続の試行は失敗します。 特別な暗号化要件のないアカウントの場合、暗号化された接続を確立できないと、暗号化されていない接続にフォールバックしようとします。 暗号化された接続を取得できない場合にフォールバックおよび失敗を防ぐには、次のように接続します:

mysql --ssl-mode=REQUIRED

アカウントのセキュリティ要件が厳しい場合は、暗号化された接続を確立するために他のオプションを指定する必要があります:

REQUIRE 句の詳細は、セクション13.7.1.3「CREATE USER ステートメント」 を参照してください。

暗号化の使用を防止し、他の --ssl-xxx オプションをオーバーライドするには、--ssl-mode=DISABLED を使用してクライアントプログラムを起動します:

mysql --ssl-mode=DISABLED

サーバーとの現在の接続で暗号化が使用されているかどうかを確認するには、Ssl_cipher ステータス変数のセッション値を確認します。 値が空の場合、接続は暗号化されません。 それ以外の場合、接続は暗号化され、値は暗号化暗号を示します。 例:

mysql> SHOW SESSION STATUS LIKE 'Ssl_cipher';
+---------------+---------------------------+
| Variable_name | Value                     |
+---------------+---------------------------+
| Ssl_cipher    | DHE-RSA-AES128-GCM-SHA256 |
+---------------+---------------------------+

mysql クライアントの場合は、代わりに STATUS または \s コマンドを使用して、SSL 行をチェックすることもできます。

mysql> \s
...
SSL: Not in use
...

または:

mysql> \s
...
SSL: Cipher in use is DHE-RSA-AES128-GCM-SHA256
...

一部の MySQL デプロイメントでは、暗号化された接続を使用することが望ましいだけでなく、(規制要件を満たすためなどに) 必須である場合があります。 このセクションでは、これを可能にする構成設定について説明します。 次のレベルの制御を使用できます:

クライアントが暗号化された接続を使用して接続することを要求するには、require_secure_transport システム変数を有効にします。 たとえば、サーバー my.cnf ファイルに次の行を挿入します:

[mysqld]
require_secure_transport=ON

または、実行時に値を設定して永続化するには、次のステートメントを使用します:

SET PERSIST require_secure_transport=ON;

SET PERSIST は、実行中の MySQL インスタンスの値を設定します。 また、値が保存され、それ以降のサーバーの再起動にも使用されます。 セクション13.7.6.1「変数代入の SET 構文」を参照してください。

require_secure_transport を有効にすると、なんらかの形式のセキュアなトランスポートを使用するためにサーバーへのクライアント接続が必要になり、SSL を使用する TCP/IP 接続、またはソケットファイル (Unix の場合) または共有メモリー (Windows の場合) を使用する接続のみがサーバーで許可されます。 サーバーはセキュアでない接続試行を拒否し、ER_SECURE_TRANSPORT_REQUIRED エラーで失敗します。

サーバーで暗号化が必要かどうかにかかわらず暗号化された接続を必要とするようにクライアントプログラムを起動するには、REQUIRED、VERIFY_CA または VERIFY_IDENTITY の --ssl-mode オプション値を使用します。 例:

mysql --ssl-mode=REQUIRED
mysqldump --ssl-mode=VERIFY_CA
mysqladmin --ssl-mode=VERIFY_IDENTITY

暗号化された接続でのみ使用できるように MySQL アカウントを構成するには、アカウントを作成する CREATE USER ステートメントに REQUIRE 句を含め、その句に必要な暗号化特性を指定します。 たとえば、暗号化された接続と有効な X.509 証明書の使用を要求するには、REQUIRE X509 を使用します:

CREATE USER 'jeffrey'@'localhost' REQUIRE X509;

REQUIRE 句の詳細は、セクション13.7.1.3「CREATE USER ステートメント」 を参照してください。

暗号化要件のない既存のアカウントを変更するには、ALTER USER ステートメントを使用します。