SnapCenter Software 4.9

SnapCenter ServerとのセキュアーなMySQL接続の設定

スタンドアロン構成またはNetwork Load Balancing（NLB）構成でSnapCenter ServerとMySQLサーバーの間の通信を保護する場合は、Secure Sockets Layer（SSL）証明書とキーファイルを生成します。

スタンドアロンSnapCenter Server構成用のセキュアーなMySQL接続の設定

SnapCenter ServerとMySQLサーバーの間の通信を保護するには、Secure Sockets Layer（SSL）証明書とキーファイルを生成します。証明書とキーファイルは、MySQLサーバーとSnapCenter Serverで設定する必要があります。

次の証明書が生成されます。

CA証明書
サーバーのパブリック証明書と秘密鍵ファイル
クライアントのパブリック証明書と秘密鍵ファイル

手順

opensslコマンドを使用して、WindowsのMySQLサーバーおよびクライアントのSSL証明書とキーファイルを設定します。

詳細については、MySQLバージョン5.7の「Creating SSL Certificates and Keys Using openssl」を参照してください。

サーバー証明書、クライアント証明書、およびキーファイルに使用する共通名は、それぞれCA証明書の共通名と異なる必要があります。共通名が同じ場合、それらの証明書とキーファイルはOpenSSLを使用してコンパイルされたサーバーでエラーになります。

ベストプラクティス： サーバー証明書の共通名にはサーバーの完全修飾ドメイン名（FQDN）を使用します。

SSL証明書とキーファイルをMySQLのデータフォルダーにコピーします。

MySQLのデータフォルダーのデフォルトパスは、C:\ProgramData\Fujitsu\SnapCenter\MySQL Data\Data\です。

MySQLサーバー構成ファイル（my.ini）で、CA証明書、サーバーパブリック証明書、クライアントパブリック証明書、サーバー秘密鍵、およびクライアント秘密鍵のパスを更新します。

MySQLサーバー構成ファイル（my.in）のデフォルトパスは、C:\ProgramData\Fujitsu\SnapCenter\MySQL Data\my.iniです。

MySQLサーバー構成ファイル（my.ini）の[mysqld]セクションで、CA証明書、サーバーパブリック証明書、およびサーバー秘密鍵のパスを指定する必要があります。

MySQLサーバー構成ファイル（my.ini）の[client]セクションで、CA証明書、クライアントパブリック証明書、およびクライアント秘密鍵のパスを指定する必要があります。

次の例では、デフォルトのC:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Dataフォルダーにあるmy.iniファイルの[mysqld]セクションに証明書とキーファイルがコピーされています。

ssl-ca="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/ca.pem"

ssl-cert="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/server-cert.pem"

ssl-key="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/server-key.pem"

次の例では、my.iniファイルの[client]セクションのパスが更新されています。

ssl-ca="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/ca.pem"

ssl-cert="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/client-cert.pem"

ssl-key="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/client-key.pem"

Internet Information Server（IIS）でSnapCenter Server Webアプリケーションを停止します。
MySQLサービスを再起動します。
web.configファイルのMySQLProtocolキーの値を更新します。

次の例では、web.configファイルのMySQLProtocolキーの値が更新されています。
```
<add key="MySQLProtocol" value="SSL" />
```

my.iniファイルの[client]セクションに表示されているパスを使用して、web.configファイルを更新します。

次の例では、my.iniファイルの[client]セクションのパスが更新されています。

<add key="ssl-client-cert" value="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/client-cert.pem" />

<add key="ssl-client-key" value="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/client-key.pem" />

<add key="ssl-ca" value="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/ca.pem" />

IISでSnapCenter Server Webアプリケーションを起動します。

HA構成用のセキュアーなMySQL接続の設定

SnapCenter ServerとMySQLサーバーの間の通信を保護する場合は、両方の高可用性（HA）ノード用にSecure Sockets Layer（SSL）証明書とキーファイルを生成します。証明書とキーファイルは、MySQLサーバーとHAノードで設定する必要があります。

次の証明書が生成されます。

CA証明書

一方のHAノードでCA証明書を生成し、もう一方のHAノードにコピーします。
両方のHAノードのサーバーパブリック証明書とサーバー秘密鍵ファイル
両方のHAノードのクライアントパブリック証明書とクライアント秘密鍵ファイル

手順

1つ目のHAノードで、opensslコマンドを使用して、WindowsのMySQLサーバーおよびクライアントのSSL証明書とキーファイルを設定します。

詳細については、MySQLバージョン5.7の「Creating SSL Certificates and Keys Using openssl」を参照してください。

ベストプラクティス： サーバー証明書の共通名にはサーバーの完全修飾ドメイン名（FQDN）を使用します。

SSL証明書とキーファイルをMySQLのデータフォルダーにコピーします。

MySQLのデータフォルダーのデフォルトパスは、C:\ProgramData\Fujitsu\SnapCenter\MySQL Data\Data\です。

MySQLサーバー構成ファイル（my.in）のデフォルトパスは、C:\ProgramData\Fujitsu\SnapCenter\MySQL Data\my.iniです

MySQLサーバー構成ファイル（my.ini）の[mysqld]セクションに、CA証明書、サーバーパブリック証明書、およびサーバー秘密鍵のパスを指定する必要があります。

MySQLサーバー構成ファイル（my.ini）の[client]セクションに、CA証明書、クライアントパブリック証明書、およびクライアント秘密鍵のパスを指定する必要があります。

次の例では、デフォルトのフォルダーであるC:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Dataにあるmy.iniファイルの[mysqld]セクションに証明書とキーファイルがコピーされています。

ssl-ca="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/ca.pem"

ssl-cert="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/server-cert.pem"

ssl-key="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/server-key.pem"

次の例では、my.iniファイルの[client]セクションのパスが更新されています。

ssl-ca="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/ca.pem"

ssl-cert="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/client-cert.pem"

ssl-key="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/client-key.pem"

2つ目のHAノードで、次の手順に従ってCA証明書をコピーし、サーバーパブリック証明書、サーバー秘密鍵ファイル、クライアントパブリック証明書、およびクライアント秘密鍵ファイルを生成します。

1つ目のHAノードで生成したCA証明書を2つ目のHAノードのMySQLのデータフォルダーにコピーします。

MySQLのデータフォルダーのデフォルトパスは、C:\ProgramData\Fujitsu\SnapCenter\MySQL Data\Data\です。

CA証明書は新しく作成しないでください。サーバーパブリック証明書、クライアントパブリック証明書、サーバー秘密鍵ファイル、クライアント秘密鍵ファイルのみを作成します。

1つ目のHAノードで、opensslコマンドを使用して、WindowsのMySQLサーバーおよびクライアントのSSL証明書とキーファイルを設定します。

MySQLバージョン5.7の「Creating SSL Certificates and Keys Using openssl」

サーバー証明書の共通名としてサーバーのFQDNを使用することを推奨します。

SSL証明書とキーファイルをMySQLのデータフォルダーにコピーします。

ssl-ca="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/ca.pem"

ssl-cert="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/server-cert.pem"

ssl-key="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/server-key.pem"

次の例では、my.iniファイルの[client]セクションのパスが更新されています。

ssl-ca="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/ca.pem"

ssl-cert="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/server-cert.pem"

ssl-key="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/server-key.pem"

両方のHAノードのInternet Information Server（IIS）でSnapCenter Server Webアプリケーションを停止します。
両方のHAノードで、MySQLサービスを再起動します。
両方のHAノードで、web.configファイルのMySQLProtocolキーの値を更新します。

次の例では、web.configファイルのMySQLProtocolキーの値が更新されています。
```
<add key="MySQLProtocol" value="SSL" />
```

両方のHAノードで、web.configファイルの各パスをmy.iniファイルの[client]セクションに指定したパスに更新します。

次の例では、my.iniファイルの[client]セクションのパスが更新されています。

<add key="ssl-client-cert" value="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/client-cert.pem" />

<add key="ssl-client-key" value="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/client-key.pem" />

<add key="ssl-ca" value="C:/ProgramData/Fujitsu/SnapCenter/MySQL Data/Data/ca.pem" />

両方のHAノードのIISでSnapCenter Server Webアプリケーションを起動します。
一方のHAノードで、PowerShellのSet-SmRepositoryConfig -RebuildSlave -Forceコマンドレット（-Forceオプションを指定）を使用して、両方のHAノードにセキュアーなMySQLレプリケーションを確立します。

レプリケーションが健全な状態であっても、-Forceオプションを指定するとスレーブリポジトリを再構築できます。