MySQL için Azure Veritabanı'nda Aktarım Katmanı Güvenliği (TLS)

MySQL için Azure Veritabanı, tüm istemci bağlantılarının veritabanı sunucunuzla istemci uygulamaları arasındaki iletişimi şifreleyen endüstri standardı bir protokol olan Aktarım Katmanı Güvenliği'ni (TLS) kullanmasını gerektirir. TLS eski SSL protokollerinin yerini alır ve yalnızca TLS 1.2 ve 1.3 sürümleri güvenli olarak kabul edilir. TLS güvenliğinin bütünlüğü üç sütuna dayanır:

  • Yalnızca TLS 1.2 veya 1.3 sürümlerini kullanma.
  • İstemci, sunucunun Sertifika Yetkilisi (CA) tarafından verilen TLS sertifikasını güvenilir bir kök CA'nın başlattığı CA zincirinde doğrular.
  • Sunucu ve istemci arasında güvenli bir şifreleme paketi anlaşması yapma.

MySQL için Azure Veritabanı Esnek Sunucuda TLS yapılandırmaları

MySQL için Azure Veritabanı Esnek Sunucu, Aktarım Katmanı Güvenliği (TLS) şifrelemesi ile Güvenli Yuva Katmanı (SSL) kullanarak istemci uygulamalarınızı MySQL için Azure Veritabanı Esnek Sunucu örneğine bağlamayı destekler. TLS, uyumluluk gereksinimlerine uyabilmeniz için veritabanı sunucunuzla istemci uygulamalarınız arasında şifreli ağ bağlantıları sağlayan endüstri standardı bir protokoldür.

MySQL için Azure Veritabanı Esnek Sunucu varsayılan olarak Aktarım Katmanı Güvenliği (TLS 1.2) kullanarak şifrelenmiş bağlantıları destekler ve varsayılan olarak TLS 1.0 ve TLS 1.1 kullanarak gelen tüm bağlantıları reddeder. Esnek Sunucunuzda şifreli bağlantı zorlama veya TLS sürüm yapılandırmasını yapılandırabilir ve değiştirebilirsiniz.

Aşağıdaki tabloda, Esnek Sunucunuz için sahip olabileceğiniz SSL ve TLS ayarlarının farklı yapılandırmaları açıklanmaktadır:

Important

TLS 1.0 ve TLS 1.1 Protokolleri için Desteğin Kaldırılmasına göre MySQL, Eylül 2024'e kadar TLS 1.0 ve 1.1'i tamamen kullanımdan kaldırmayı planlıyor. Ancak, bazı müşteriler tarafından tanımlanan bağımlılıklar nedeniyle zaman çizelgesi uzatıldı.

  • 31 Ağustos 2025'te tls 1.0 veya 1.1 kullanan tüm sunucular için zorunlu yükseltme başlar. Bu tarihten sonra TLS 1.0 veya 1.1 kullanan tüm bağlantılar herhangi bir zamanda çalışmayı durdurabilir.

Hizmet kesintilerini önlemek için en kısa sürede TLS 1.2'ye geçin.

Scenario Sunucu parametresi ayarları Description
TLS zorlamayı devre dışı bırakma require_secure_transport = OFF Eski uygulamanız şifreli bağlantıları desteklemiyorsa, şifrelenmiş bağlantıların uygulanmasını devre dışı bırakın.
TLS sürüm < 1.2 ile TLS'i zorunlu kılma (Eylül 2024'te kullanım dışı) require_secure_transport = ON ve tls_version = TLS 1.0 veya TLS 1.1 Artık kullanılamıyor!
TLS sürümü = 1.2 (Varsayılan yapılandırma) ile TLS'i zorunlu kılma require_secure_transport = ON ve tls_version = TLS 1.2 Varsayılan yapılandırma.
TLS sürümü = 1.3 ile TLS'i zorunlu kılma require_secure_transport = ON ve tls_version = TLS 1.3 Önerilen yapılandırma; yalnızca MySQL için Azure Veritabanı Esnek Sunucu sürümü v8.0 ve üzeri ile desteklenir.

Note

TLS Şifrelemesinde yapılan değişiklikler desteklenmez. tls_version TLS 1.2 veya TLS 1.3 olarak ayarlandığında, FIPS uyumlu şifreleme paketleri varsayılan olarak uygulanır.

TLS sürümünü tanımlamayı öğrenmek için SSL/TLS kullanarak bağlanmayı gözden geçirin.

Güvenilen kök sertifikalar ve sertifika yenilemeleri

Important

Kök sertifika yenileme zamanlaması:

  • DigiCert Genel Kök CA'sından (G1) Çin bölgelerindeki DigiCert Genel Kök G2'ye kök CA sertifikaları için güncelleştirmeler 9 Mart 2026'da başlar.
  • İstemci yapılandırmanız TLS için önerilen yapılandırmaları kullanıyorsa herhangi bir işlem yapmanız gerekmez.

MySQL için Azure Veritabanı tarafından kullanılan kök CA'lar

Kök CA'lar sertifika zincirindeki en üst düzey yetkililerdir. MySQL için Azure Veritabanı şu anda aşağıdaki kök CA'lar tarafından sabitlenmiş bir ICA tarafından verilen çift imzalı sertifikaları kullanır:

Çin bölgeleri şu anda aşağıdaki CA'ları kullanır:

Ara CA'lar hakkında

MySQL için Azure Veritabanı, sunucu sertifikaları vermek için ara CA'ları (ICA) kullanır. Microsoft, güvenliği korumak için bu ICA'ları ve verdikleri sunucu sertifikalarını düzenli aralıklarla döndürür. Bu döndürmeler rutindir ve önceden duyurulmuyor.

DigiCert Global Root G2 için ara sertifika yetkililerinin mevcut rotasyonu (bkz. Sertifika rotasyonu) Kasım 2025'te başladı ve 2026'nın 1. çeyreğinde tamamlanması planlanmaktadır. Bu döndürme, ara CA'ların yerini aşağıdaki gibi alır. Önerilen uygulamaları izlediyseniz ortamınızda herhangi bir değişiklik yapmanız gerekmez.

Eski CA zinciri

Bu bilgiler yalnızca başvuru için sağlanır. Güvenilen kök deponuzda ara CA'ları veya sunucu sertifikalarını kullanmayın.

  • DigiCert Global Root G2
    • Microsoft Azure RSA TLS Issuing CA 03 / 04 / 07 / 08
      • Sunucu sertifikası

Yeni CA zinciri

Bu bilgiler yalnızca başvuru için sağlanır. Güvenilen kök deponuzda ara CA'ları veya sunucu sertifikalarını kullanmayın.

  • DigiCert Global Root G2
    • Microsoft TLS RSA Root G2
      • Microsoft TLS G2 RSA CA OCSP 02 / 04 / 06 / 08 / 10 / 12 / 14 / 16
        • Sunucu sertifikası

Sertifika zincirleri

Sertifika zinciri, ara CA (ICA) sertifikaları veren kök CA'dan başlayarak güvenilen Sertifika Yetkilileri (CA) tarafından verilen hiyerarşik bir sertifika dizisidir. ICA'lar daha düşük ICA'lar için sertifikalar verebilir. Zincirdeki en düşük ICA tek tek sunucu sertifikaları gönderir. Kök CA sertifikasına kadar zincirdeki her sertifikayı doğrulayarak güven zincirini oluşturursunuz.

Bağlantı hatalarını azaltma

Sertifika döndürmeleri veya ara CA'lardaki değişiklikler nedeniyle bağlantı hatası riskini azaltmak için önerilen TLS yapılandırmalarını kullanın. Özellikle, ara CA’lara veya tek tek sunucu sertifikalarına güvenmekten kaçının; çünkü bu uygulamalar, Microsoft sertifika zincirini güncellediğinde beklenmeyen bağlantı sorunlarına yol açabilir.

Important

Microsoft, istemci uygulamalarınızı hazırlamanıza yardımcı olmak için kök CA'lardaki değişiklikleri önceden duyurur. Ancak, sunucu sertifikası döndürmeleri ve ara CA'larda yapılan değişiklikler rutindir ve bu nedenle duyurulmuyor.

Caution

Desteklenmeyen (istemci) yapılandırmaların kullanılması beklenmeyen bağlantı hatalarına neden olabilir.

En iyi yapılandırma

İyi yapılandırma

  • require_secure_transport = ON ve tls_version = TLS 1.3 ayarlayın. TLS 1.2'yi desteklemeniz gerekiyorsa, öğesini ayarlamayın tls_version.
  • İstemci uygulamalarından tam doğrulama kullanın (Bu, istemciye göre değişir).
  • Güvenilen kök deponun şu anda MySQL için Azure Veritabanı tarafından kullanılan kök CA sertifikasını içerdiğinden emin olun:

require_secure_transport öğesini OFF olarak ayarlayarak TLS'yi tamamen devre dışı bırakmayın.

Desteklenmeyen yapılandırmalar; kullanmayın

Azure MySQL ara CA değişiklikleri veya tek tek sunucu sertifikası döndürmeleri hakkındaki değişiklikleri duyurmaz. Bu nedenle, aşağıdaki yapılandırmalar desteklenmez:

  • Güvenilir depolarınızda ara CA sertifikaları kullanırsınız.
  • Örneğin güvenilen sertifika deponuzda ayrı ayrı sunucu sertifikaları kullanarak sertifika sabitleme uygularsınız.

Caution

Microsoft, sertifika zincirinin ara CA'larını değiştirerek veya sunucu sertifikasını döndürdükçe uygulamalarınız uyarı vermeden veritabanı sunucularına bağlanamıyor.

TLS için dikkat edilmesi gereken diğer noktalar

Güvensiz ve güvenli TLS sürümleri

Dünya genelindeki çeşitli kamu kuruluşları, ağ güvenliğiyle ilgili TLS yönergelerini korur. Amerika Birleşik Devletleri'nde bu kuruluşlar Sağlık ve İnsan Hizmetleri Bakanlığı ile Ulusal Standartlar ve Teknoloji Enstitüsü'nü içerir. TLS'nin sağladığı güvenlik düzeyi en çok TLS protokolü sürümünden ve desteklenen şifreleme paketlerinden etkilenir.

MySQL için Azure Veritabanı TLS sürüm 1.2 ve 1.3'i destekler. RFC 8996'da Internet Engineering Task Force (IETF), TLS 1.0 ve TLS 1.1'in kullanılmaması gerektiğini açıkça belirtir. Her iki protokol de 2019 sonuna kadar kullanım dışı bırakılmıştır. TLS protokolünün TLS 1.0 ve TLS 1.1 gibi önceki güvenli olmayan sürümlerini kullanan tüm gelen bağlantılar varsayılan olarak reddedilir.

IETF, AĞUSTOS 2018'de RFC 8446'da TLS 1.3 belirtimini yayımladı ve TLS 1.2'den daha hızlı ve daha güvenli olduğundan TLS 1.3 önerilen sürümdür.

Önerilmiyor olsa da, gerekirse MySQL için Azure Veritabanı bağlantılarınız için TLS'yi devre dışı bırakabilirsiniz. sunucu parametresini require_secure_transport olarak OFFgüncelleştirebilirsiniz.

Şifreleme paketleri

Şifreleme paketi, şifreleme, anahtar değişimi algoritması ve karma algoritması içeren bir dizi algoritmadır. Güvenli bir TLS bağlantısı kurmak için bunları TLS sertifikası ve TLS sürümüyle birlikte kullanın. Çoğu TLS istemcisi ve sunucusu birden çok şifreleme paketi ve bazen de birden çok TLS sürümünü destekler. Bağlantının kurulması sırasında istemci ve sunucu, el sıkışması yoluyla kullanmak üzere TLS sürümü ve şifre paketi konusunda anlaşma sağlar. Bu el sıkışma sırasında aşağıdakiler gerçekleşir:

  • İstemci, kabul edilebilir şifreleme paketlerinin listesini gönderir.
  • Sunucu, listeden en iyi (kendi tanımına göre) şifreleme paketini seçer ve istemciyi tercihi bildirir.

MySQL için Azure Veritabanı'nda TLS özellikleri kullanılamıyor

Şu anda MySQL için Azure Veritabanı aşağıdaki TLS özelliklerini uygulamaz:

  • Karşılıklı kimlik doğrulaması (mTLS) ile TLS aracılığıyla TLS sertifika tabanlı istemci kimlik doğrulaması.
  • Özel sunucu sertifikaları (kendi TLS sertifikalarınızı getirin).

İlgili içerik

  • Son güncelleştirme: