Transport Layer Security (TLS) nel database Azure per MySQL

Database di Azure per MySQL richiede che tutte le connessioni client usino Transport Layer Security (TLS), un protocollo standard del settore che crittografa le comunicazioni tra il server di database e le applicazioni client. TLS sostituisce il protocollo SSL precedente, con solo le versioni TLS 1.2 e 1.3 riconosciute come sicure. L'integrità della sicurezza TLS si basa su tre pilastri:

  • Uso solo di TLS versione 1.2 o 1.3.
  • Il client convalida il certificato TLS del server emesso da un'autorità di certificazione (CA) in una catena di CA avviate da una CA radice attendibile.
  • Negoziazione di una suite di crittografia sicura tra server e client.

Configurazioni TLS nel server flessibile Database di Azure per MySQL

Database di Azure per MySQL - Server flessibile supporta la connessione delle applicazioni client all'istanza del server flessibile del Database di Azure per MySQL utilizzando Secure Sockets Layer (SSL) con la crittografia Transport Layer Security (TLS). TLS è un protocollo standard del settore che garantisce connessioni di rete crittografate tra il server di database e le applicazioni client, in modo da poter rispettare i requisiti di conformità.

Database di Azure per MySQL server flessibile supporta le connessioni crittografate tramite Transport Layer Security (TLS 1.2) per impostazione predefinita e nega tutte le connessioni in ingresso usando TLS 1.0 e TLS 1.1 per impostazione predefinita. È possibile configurare e modificare l'imposizione della connessione crittografata o la configurazione della versione TLS nel server flessibile.

La tabella seguente descrive le diverse configurazioni delle impostazioni SSL e TLS disponibili per il server flessibile:

Importante

In base alla rimozione del supporto per i protocolli TLS 1.0 e TLS 1.1, MySQL ha pianificato di deprecare completamente TLS 1.0 e 1.1 entro settembre 2024. Tuttavia, a causa delle dipendenze identificate da alcuni clienti, la sequenza temporale è stata estesa.

  • A partire dal 31 agosto 2025, l'aggiornamento forzato inizia per tutti i server che usano ANCORA TLS 1.0 o 1.1. Dopo questa data, le connessioni che si basano su TLS 1.0 o 1.1 potrebbero smettere di funzionare in qualsiasi momento.

Per evitare interruzioni del servizio, eseguire la migrazione a TLS 1.2 il prima possibile.

Scenario Impostazioni dei parametri del server Description
Disabilitare l'applicazione di TLS require_secure_transport = OFF Se l'applicazione legacy non supporta le connessioni crittografate, disabilitare l'imposizione delle connessioni crittografate.
Applicare TLS con versione TLS < 1.2 (deprecato a settembre 2024) require_secure_transport = ON e tls_version = TLS 1.0 o TLS 1.1 Non più disponibile!
Applicare TLS con tls versione = 1.2(configurazione predefinita) require_secure_transport = ON e tls_version = TLS 1.2 Configurazione predefinita.
Applicare TLS con TLS versione = 1.3 require_secure_transport = ON e tls_version = TLS 1.3 Configurazione consigliata; supportato solo con il server flessibile di Database di Azure per MySQL versione 8.0 e successive.

Note

Le modifiche apportate alla crittografia TLS non sono supportate. Le suite di crittografia conformi a FIPS vengono applicate per impostazione predefinita quando tls_version è impostato su TLS 1.2 o TLS 1.3.

Vedere Connettersi con SSL/TLS per informazioni su come identificare la versione di TLS.

Certificati radice fidati e rotazione dei certificati

Importante

Pianificazione della rotazione dei certificati radice:

  • Gli aggiornamenti per i certificati CA radice da DigiCert Global Root CA (G1) a DigiCert Global Root G2 nelle aree della Cina iniziano il 9 marzo 2026.
  • Se la configurazione client usa le configurazioni consigliate per TLS, non è necessario eseguire alcuna azione.

CA radici utilizzate dal database Azure per MySQL

L'autorità di certificazione radice è l'autorità di primo livello nella catena di certificazione. Database di Azure per MySQL attualmente usa certificati con firma doppia rilasciati da un'ICA ancorata dalle seguenti CA radice.

Attualmente le aree della Cina usano le ca seguenti:

Informazioni sulle CA intermedie

Database di Azure per MySQL usa autorità di certificazione intermedie (CA) per rilasciare certificati server. Microsoft ruota periodicamente questi ICA e i certificati del server che essi rilasciano per mantenere la sicurezza. Queste rotazioni sono routine e non vengono annunciate in anticipo.

La rotazione corrente delle autorità di certificazione intermedie per DigiCert Global Root G2 (vedere Rotazione dei certificati) avviata a novembre 2025 ed è pianificata per essere completata nel primo trimestre del 2026. Questa rotazione sostituisce le ca intermedie come indicato di seguito. Se sono state seguite le procedure consigliate, non è necessario apportare modifiche nell'ambiente.

Catena CA precedente

Queste informazioni vengono fornite solo per riferimento. Non utilizzare CA intermedie né certificati server nel proprio archivio radice attendibile.

  • DigiCert Global Root G2
    • Microsoft Azure RSA TLS Issuing CA 03 / 04 / 07 / 08
      • Certificato del server

Nuova catena di autorità di certificazione (CA)

Queste informazioni vengono fornite solo per riferimento. Non utilizzare CA intermedie né certificati server nel proprio archivio radice attendibile.

  • DigiCert Global Root G2
    • Microsoft TLS RSA Root G2
      • Microsoft TLS G2 RSA CA OCSP 02 / 04 / 06 / 08 / 10 / 12 / 14 / 16
        • Certificato del server

Catene di certificati

Una catena di certificati è una sequenza gerarchica di certificati rilasciati da autorità di certificazione attendibili (CA), a partire dalla CA radice, che rilascia certificati ICA (Intermediate CA). Le ICA possono emettere certificati per altre ICA di livello inferiore. L'ICA più bassa della catena rilascia singoli certificati server. Per stabilire la catena di attendibilità, si verifica ogni certificato nella catena fino al certificato radice dell'Autorità di Certificazione (CA).

Ridurre gli errori di connessione

Usare le configurazioni TLS consigliate per ridurre il rischio di errori di connessione dovuti alle rotazioni dei certificati o alle modifiche nelle ca intermedie. In particolare, evitare di considerare attendibili ca intermedie o singoli certificati server, poiché queste procedure possono causare problemi di connessione imprevisti quando Microsoft aggiorna la catena di certificati.

Importante

Microsoft annuncia in anticipo le modifiche apportate alle CA radice per preparare le applicazioni client. Tuttavia, le rotazioni dei certificati server e le modifiche apportate alle ca intermedie sono routine e pertanto non vengono annunciate.

Caution

L'uso di configurazioni non supportate (client) può causare errori di connessione imprevisti.

Configurazione ottimale

Configurazione ottimale

  • Impostare require_secure_transport = ON e tls_version = TLS 1.3. Se è necessario supportare TLS 1.2, non impostare il tls_version.
  • Usare la verifica completa dalle applicazioni client (questo varia in base al client).
  • Verificare che l'archivio radice attendibile contenga il certificato CA radice attualmente utilizzato da Database di Azure per MySQL:

Non disabilitare completamente TLS impostando require_secure_transport su OFF.

Configurazioni non supportate; non usare

Azure MySQL non comunica le modifiche relative alle CA intermedie né la rotazione dei singoli certificati del server. Di conseguenza, le configurazioni seguenti non sono supportate:

  • Uso di certificati CA intermedi nell'archivio attendibile.
  • Uso dell'associazione dei certificati, ad esempio uso di certificati server singoli nell'archivio attendibile.

Caution

Le applicazioni non riescono a connettersi ai server di database senza alcun avviso ogni volta che Microsoft modifica le CA intermedie della catena di certificati o ruota il certificato server.

Altre considerazioni per TLS

Versioni TLS non sicure e sicure

Diverse entità governative a livello globale mantengono linee guida per TLS in materia di sicurezza di rete. Negli Stati Uniti, queste organizzazioni includono il Dipartimento della salute e dei servizi umani e l'Istituto nazionale di standard e tecnologia. Il livello di sicurezza fornito da TLS è più interessato dalla versione del protocollo TLS e dai pacchetti di crittografia supportati.

Database di Azure per MySQL supporta TLS versione 1.2 e 1.3. In RFC 8996, Internet Engineering Task Force (IETF) indica in modo esplicito che TLS 1.0 e TLS 1.1 non devono essere usati. Entrambi i protocolli sono stati deprecati entro la fine del 2019. Tutte le connessioni in ingresso che usano versioni non sicure precedenti del protocollo TLS, ad esempio TLS 1.0 e TLS 1.1, vengono negate per impostazione predefinita.

IETF ha rilasciato la specifica TLS 1.3 in RFC 8446 nell'agosto 2018 e TLS 1.3 è la versione consigliata perché è più veloce e più sicuro di TLS 1.2.

Anche se non è consigliabile, se necessario, è possibile disabilitare TLS per le connessioni al Database di Azure per MySQL. È possibile aggiornare il parametro del server require_secure_transport a OFF.

Pacchetti di crittografia

Una suite di crittografia è un set di algoritmi che includono una crittografia, un algoritmo di scambio di chiavi e un algoritmo hash. Usarli insieme al certificato TLS e alla versione TLS per stabilire una connessione TLS sicura. La maggior parte dei client e dei server TLS supporta più suite di crittografia e talvolta più versioni TLS. Durante la creazione della connessione, il client e il server negoziano la versione e la suite di crittografia TLS da usare tramite un handshake. Durante questo handshake, si verifica quanto segue:

  • Il client invia un elenco di pacchetti di crittografia accettabili.
  • Il server seleziona la suite di crittografia migliore (in base alla propria definizione) dall'elenco e informa il client della scelta.

Funzionalità TLS non disponibili in Database di Azure per MySQL

Al momento, Database di Azure per MySQL non implementa le funzionalità TLS seguenti:

  • Autenticazione client basata su certificati TLS tramite TLS con autenticazione reciproca (mTLS).
  • Certificati server personalizzati (porta i tuoi certificati TLS).

Contenuti correlati

  • Last updated on