PHPからRDSのMySQLに対してSSL接続する
こんにちは。望月です。 RDSのMySQLにはSSLを使って接続することができます。今日はPHPから接続するところまで試したので、その設定手順をまとめます。
MySQLにSSL接続を行うことで、暗号化の処理の分パフォーマンスが悪化することが想定されます。
それなりの負荷のあるプロダクション環境で利用する際は、期待したパフォーマンスが得られるかどうかの検証を行った方がよいと思います。
RDSおよびMySQLの設定
RDSについては、何も設定を変更する必要はありません。通常通りRDSのMySQLインスタンスを立ち上げてください。
SSL接続のみ受け付けるユーザを作成する場合は、以下のコマンドを実行して、SSL接続のみを許可するユーザを作成して下さい。
GRANT USAGE ON *.* TO 'encrypted_user'@'%' REQUIRE SSL
CA証明書の取得
SSL接続を行うために、AWSからCA証明書を取得する必要があります。下記ページから取得して下さい。
https://rds.amazonaws.com/doc/mysql-ssl-ca-cert.pem
PHPプログラム
PDOを利用してPHPから接続をしてみます。SSLでの接続に成功しているかどうかを判定してみましょう。
<?php
$dbhost = 'sampledb.xxxxxxxxxxx.ap-northeast-1.rds.amazonaws.com';
$dbname = 'sampledb';
$dsn = 'mysql:host='.$dbhost.';dbname='.$dbname;
$user = 'username';
$pass = 'password';
$options = array(
PDO::MYSQL_ATTR_SSL_CA => '/home/ec2-user/mysql-ssl-ca-cert.pem' // CA証明書の指定
);
$client = new PDO($dsn,$user,$pass,$options);
$sql = "show status like 'ssl_cipher'";
$result = $client->query($sql);
foreach($result as $row) {
echo ($row["Value"]);
}
ポイントは、8行目から10行目の$optionsでPDO::MYSQL_ATTR_SSL_CAの値をPDOオブジェクトのコンストラクタに渡しています。この値を設定することでPHPからSSL接続を行うことになります。
このPHPをコンソールから実行します。SSLでの接続に成功しているとAES256-SHAと表示されます。
[ec2-user@ip-10-0-0-181 ~]$ php sample.php AES256-SHA
まとめ
RDSでは特に設定変更を行うことなく、SSLでの接続が可能になります。要件によってはDBにSSLで接続する必要があるかと思いますが、その際には参考にしてみてください。
