AWS DMS не может использовать обязательный режим SSL с MySQL - PullRequest
Новая
       42

AWS DMS не может использовать обязательный режим SSL с MySQL

0 голосов
/ 17 октября 2018

Я пытался использовать AWS DMS для переноса кластера MySQL innodb в другую облачную среду, предоставляемую AWS.Я загрузил самоподписанный CA.pem, сгенерированный MySQL, он не работает.

AWSDatabaseMigrationService: Ошибка проверки сертификата CA

Режим DMS SSL не имеет опции required для MySQL.Так что я застрял ...

Мне интересно, что мне делать в этом случае.Я подумал о двух решениях:

  1. заменить CA и все сертификаты сервера, чтобы DMS мог работать с ним.Не уверен, есть ли потенциальный риск для этого.
  2. Сам запускаю другой экземпляр репликации EC2.Затем RDS может реплицировать экземпляр EC2.(Причина, по которой я не могу использовать автоматическое позиционирование в RDS, заключается в том, что ни один из узлов кластера не имеет всего двоичного журнала)

Большая часть темы на форуме AWS не получила ответа.Я чувствую, что лучше спросить здесь.
Любое предложение или идея будут хорошими.Спасибо.

1 Ответ

0 голосов
/ 19 октября 2018

Итак, в конце концов я выбрал опцию # 1, и она работает.

Одна из самых больших проблем, с которыми я столкнулся, заключалась в том, что после импорта нашего CA и сертификата сервера в MySQL он не может быть соединен с --ssl-caуказано.Однако только с --ssl это нормально.

В MySQLWorkbench SSL connection error: error:00000001:lib(0):func(0):reason(1) сообщение об ошибке было совершенно бесполезным.В DMS он сказал Error 2026 (SSL connection error: unable to get issuer certificate) connecting to MySQL server.

Оказалось, что проблема была в OSX и DMS, ему не доверяют AddTrust External CA Root, или у него нет этого корневого сертификата в их хранилище ключей.Поэтому мне пришлось вручную добавить корневой сертификат в файл пакета CA.

Чтобы сделать его более конкретным, вот цепочка.
company certificate -> COMODO RSA Domain Validation Secure Server CA -> COMODO RSA Certification Authority (что НЕ являетсякорневой сертификат в OSX Keychain) -> AddTrust External CA Root

Я не знаю, почему OSX & DMS не может проверить корневой сертификат по умолчанию.Мне потребовалось два дня, чтобы выяснить проблему.Надеемся, что эта информация будет полезна для других, имеющих проблемы с выданным COMODO сертификатом.

ОБНОВЛЕНИЕ (2018/11/07):

В DMS будет отсутствовать запись или запись не будет совпадать, если она только мигрируетданные к существующей схеме.Я отключил проверку внешнего ключа, но ситуация по-прежнему существует.

В итоге я пошел к маршруту № 2.

...