Tls (Transport Layer Security) ve službě Azure Database for MySQL

Azure Database for MySQL vyžaduje všechna klientská připojení k používání protokolu TLS (Transport Layer Security), standardního protokolu, který šifruje komunikaci mezi databázovým serverem a klientskými aplikacemi. Protokol TLS nahrazuje starší protokol SSL s pouze protokolem TLS verze 1.2 a 1.3, který je rozpoznán jako zabezpečený. Integrita zabezpečení protokolu TLS závisí na třech pilířích:

  • Používá se pouze protokol TLS verze 1.2 nebo 1.3.
  • Klient ověří certifikát TLS serveru vydaný certifikační autoritou (CA) v řetězu certifikačních autorit spuštěných důvěryhodnou kořenovou certifikační autoritou.
  • Vyjednávání zabezpečené šifrovací sady mezi serverem a klientem

Konfigurace protokolu TLS na flexibilním serveru Azure Database for MySQL

Azure Database for MySQL flexibilní server podporuje připojení klientských aplikací k instanci flexibilního serveru Azure Database for MySQL pomocí protokolu SSL (Secure Sockets Layer) s šifrováním TLS (Transport Layer Security). TLS je standardní protokol, který zajišťuje šifrovaná síťová připojení mezi databázovým serverem a klientskými aplikacemi, abyste mohli dodržovat požadavky na dodržování předpisů.

Azure Database for MySQL flexibilní server ve výchozím nastavení podporuje šifrovaná připojení pomocí protokolu TLS 1.2 (Transport Layer Security) a ve výchozím nastavení odepře všechna příchozí připojení pomocí protokolu TLS 1.0 a TLS 1.1. Na flexibilním serveru můžete nakonfigurovat a změnit konfiguraci vynucení šifrovaného připojení nebo verze protokolu TLS.

Následující tabulka popisuje různé konfigurace nastavení PROTOKOLU SSL a TLS, která můžete mít pro flexibilní server:

Important

Podle odebrání podpory protokolů TLS 1.0 a TLS 1.1 plánuje MySQL plně vyřadit protokol TLS 1.0 a 1.1 do září 2024. Vzhledem k závislostem identifikovaným některými zákazníky se ale časová osa prodloužila.

  • Od 31. srpna 2025 začíná vynucený upgrade pro všechny servery stále používající protokol TLS 1.0 nebo 1.1. Po tomto datu můžou všechna připojení založená na protokolu TLS 1.0 nebo 1.1 kdykoli přestat fungovat.

Abyste se vyhnuli přerušení služeb, proveďte migraci na protokol TLS 1.2 co nejdříve.

Scenario Nastavení parametrů serveru Description
Zakázání vynucení protokolu TLS require_secure_transport = OFF Pokud starší verze aplikace nepodporuje šifrovaná připojení, zakažte vynucení šifrovaných připojení.
Vynucení protokolu TLS verze < 1.2 (deprekované v září 2024) require_secure_transport = ON a tls_version = TLS 1.0 nebo TLS 1.1 Už není k dispozici!
Vynucení TLS s verzí TLS 1.2 (výchozí konfigurace) require_secure_transport = ON a tls_version = TLS 1.2 Výchozí konfigurace
Vynutit použití TLS s verzí 1.3 require_secure_transport = ON a tls_version = TLS 1.3 Doporučená konfigurace; Podporuje se pouze u flexibilního serveru Azure Database for MySQL verze 8.0 a novější.

Note

Změny šifrování TLS se nepodporují. Sady šifer kompatibilní se standardem tls_version FIPS jsou vynucovány ve výchozím nastavení, když je nastaveno TLS 1.2 nebo TLS 1.3.

Pokud chcete zjistit, jak identifikovat verzi protokolu TLS, projděte si připojení pomocí protokolu SSL/TLS .

Důvěryhodné kořenové certifikáty a obměny certifikátů

Important

Plán obměny kořenových certifikátů:

  • Aktualizace kořenových certifikátů z DigiCert Global Root CA (G1) na DigiCert Global Root CA (G2) v oblastech Číny začínají 9. března 2026.
  • Pokud konfigurace klienta používá doporučené konfigurace protokolu TLS, nemusíte provádět žádnou akci.

Kořenové certifikační autority používané službou Azure Database for MySQL

Kořenové certifikační autority jsou autoritami nejvyšší úrovně v řetězu certifikátů. Azure Database for MySQL v současné době používá certifikáty s duálním podpisem vydané ICA, která je ukotvena následujícími kořenovými certifikačními autoritami:

Oblasti Číny v současné době používají následující certifikační autority:

Informace o přechodných certifikačních autoritách

Azure Database for MySQL k vydávání certifikátů serveru používá zprostředkující certifikační autority (ICA). Společnost Microsoft pravidelně obměňuje tyto ICA a certifikáty serverů, které vydávají, aby zachovaly zabezpečení. Tyto rotace jsou rutinní a neoznamují se předem.

Současná obměna mezilehlých certifikačních autorit pro DigiCert Global Root G2 (viz obměna certifikátů) začala v listopadu 2025 a má být dokončena v 1. čtvrtletí roku 2026. Tato obměna nahrazuje mezilehlé certifikační autority následovně. Pokud jste postupovali podle doporučených postupů, nemusíte ve svém prostředí provádět žádné změny.

Starý řetězec certifikační autority

Tyto informace jsou k dispozici pouze pro referenci. Nepoužívejte certifikáty zprostředkujících certifikačních autorit ani serverové certifikáty ve vašem důvěryhodném kořenovém úložišti.

  • DigiCert Global Root G2
    • Microsoft Azure RSA TLS Issuing CA 03 / 04 / 07 / 08
      • Certifikát serveru

Nový řetěz certifikační autority

Tyto informace jsou k dispozici pouze pro referenci. Nepoužívejte certifikáty zprostředkujících certifikačních autorit ani serverové certifikáty ve vašem důvěryhodném kořenovém úložišti.

  • DigiCert Global Root G2
    • Microsoft TLS RSA Root G2
      • Microsoft TLS G2 RSA CA OCSP 02 / 04 / 06 / 08 / 10 / 12 / 14 / 16
        • Certifikát serveru

Řetězy certifikátů

Řetěz certifikátů je hierarchická posloupnost certifikátů vydaných důvěryhodnými certifikačními autoritami (CA), počínaje kořenovou certifikační autoritou, která vydává mezilehlé certifikáty certifikačních autorit (ICA). Certifikační autority mohou vydávat certifikáty pro nižší certifikační autority. Nejnižší ICA v řetězu vydává jednotlivé certifikáty serveru. Řetěz důvěryhodnosti vytvoříte tak, že ověříte každý certifikát v řetězu až po kořenový certifikát certifikační autority.

Snižte selhání připojení

Pomocí doporučených konfigurací PROTOKOLU TLS můžete snížit riziko selhání připojení kvůli obměně certifikátů nebo změnám v přechodných certifikačních autoritách. Konkrétně se vyhněte důvěryhodnosti zprostředkujících certifikačních autorit nebo jednotlivých certifikátů serveru, protože tyto postupy můžou vést k neočekávaným problémům s připojením při Microsoft aktualizaci řetězu certifikátů.

Important

Microsoft předem oznámí změny v kořenových certifikačních autoritách, které vám pomůžou připravit klientské aplikace. Obměny certifikátů serveru a změny zprostředkujících certifikačních autorit jsou ale rutinní, a proto nejsou oznámeny.

Caution

Použití nepodporovaných konfigurací (klienta) může způsobit neočekávané selhání připojení.

Nejlepší konfigurace

Dobrá konfigurace

  • Nastavte require_secure_transport = ON a tls_version = TLS 1.3. Pokud potřebujete podporovat protokol TLS 1.2, nenastavujte tls_version.
  • Používejte úplné ověření z klientských aplikací (liší se podle klienta).
  • Ujistěte se, že důvěryhodné kořenové úložiště obsahuje certifikát kořenové certifikační autority aktuálně používaný službou Azure Database for MySQL:

Nezakažujte protokol TLS úplně nastavením require_secure_transport na OFF.

Nepodporované konfigurace; nepoužívejte

Azure MySQL neoznamuje změny o přechodných změnách certifikační autority nebo obměně certifikátů jednotlivých serverů. Proto se nepodporují následující konfigurace:

  • Ve svém důvěryhodném úložišti používáte mezilehlé certifikáty CA.
  • Připnutí certifikátu, například použití jednotlivých certifikátů serveru v důvěryhodném úložišti.

Caution

Aplikace se nemůžou připojit k databázovým serverům bez upozornění, kdykoli Microsoft změní zprostředkující certifikační autority řetězu certifikátů nebo otočí certifikát serveru.

Další důležité informace pro protokol TLS

Nezabezpečené a zabezpečené verze protokolu TLS

Několik subjektů státní správy po celém světě udržuje pokyny pro protokol TLS týkající se zabezpečení sítě. Ve Spojených státech zahrnují tyto organizace oddělení zdravotnictví a lidských služeb a Národní institut standardů a technologií. Úroveň zabezpečení, kterou protokol TLS poskytuje, je nejvíce ovlivněna verzí protokolu TLS a podporovanými šifrovacími sadami.

Azure Database for MySQL podporuje protokol TLS verze 1.2 a 1.3. V dokumentu RFC 8996 explicitně uvádí IETF (Internet Engineering Task Force), že protokol TLS 1.0 a TLS 1.1 se nesmí používat. Oba protokoly byly na konci roku 2019 zastaralé. Všechna příchozí připojení, která používají starší nezabezpečené verze protokolu TLS, například TLS 1.0 a TLS 1.1, jsou ve výchozím nastavení odepřena.

IETF vydal specifikaci TLS 1.3 v dokumentu RFC 8446 v srpnu 2018 a tls 1.3 je doporučená verze, protože je rychlejší a bezpečnější než TLS 1.2.

I když se nedoporučuje, v případě potřeby můžete protokol TLS zakázat pro připojení k Azure Database for MySQL. Parametr serveru můžete aktualizovat require_secure_transport na OFF.

Šifrovací sady

Šifrovací sada je sada algoritmů, které zahrnují šifru, algoritmus výměny klíčů a algoritmus hash. Použijte je společně s certifikátem TLS a verzí protokolu TLS k navázání zabezpečeného připojení TLS. Většina klientů a serverů TLS podporuje více šifrovacích sad a někdy i více verzí protokolu TLS. Během vytváření připojení klient a server vyjednávají verzi protokolu TLS a šifrovací sadu, které se mají použít pomocí metody handshake. Během tohoto handshake dojde k následujícímu:

  • Klient odešle seznam přijatelných šifrovacích sad.
  • Server vybere nejlepší šifrovací sadu (podle vlastní definice) ze seznamu a informuje klienta o výběru.

Funkce TLS nejsou dostupné ve službě Azure Database for MySQL

V tuto chvíli Azure Database for MySQL neimplementuje následující funkce TLS:

  • Ověřování klienta založeného na certifikátech TLS prostřednictvím protokolu TLS se vzájemným ověřováním (mTLS).
  • Vlastní certifikáty serveru (přineste si vlastní certifikáty TLS).

Související obsah

  • Poslední aktualizace v