« MySQL » : différence entre les versions

De NCad Wiki
Aller à la navigation Aller à la recherche
 
(6 versions intermédiaires par le même utilisateur non affichées)
Ligne 1 : Ligne 1 :
== Topologie ==
= Topologie =


* Voici un schéma de la maquette qui sera utilisée pour illustrer cette documentation.
* Voici un schéma de la maquette qui sera utilisée pour illustrer cette documentation.
Ligne 5 : Ligne 5 :
[[Image:MySQL_Maquette|center]]
[[Image:MySQL_Maquette|center]]


== Installation ==
= Installation =


{{ Box Console | objet=sudo apt-get install libhtml-template-perl mysql-server-5.5 mysql-server-core-5.5 }}
* Depuis '''Ubuntu''', le serveur '''MySQL''' s'installe depuis les paquets '''mysql-server''' et '''mysql-common'''.


* À la question '''Nouveau mot de passe du superutilisateur MySQL''', renseigner le mot de passe du compte '''root''' pour '''MySQL''' ''(indépendant du compte root UNIX)''
{{ Box Console | objet=sudo apt-get install mysql-server mysql-common }}


* Éditer le fichier '''/etc/mysql/my.cnf''' puis rechercher la ligne '''bind-address''' et indiquer l'adresse IP local de la machine où est installé '''MySQL'''.
* Pendant le processus d'installation, vous serez invité à renseigner le mot de passe du compte '''root''' pour le serveur.
 
* Par défaut, le serveur écoute uniquement en local. Si vous souhaitez accéder au serveur depuis une autre machine, vous devez éditer le fichier de configuration '''/etc/mysql/my.cnf''' puis rechercher la ligne '''bind-address''' et indiquer l'adresse IP local du serveur ''(dans notre cas 10.0.0.44)''.


  bind-address                = 10.0.0.44
  bind-address                = 10.0.0.44


{{ Box Information | objet=Par défaut, le serveur MySQL n'écoute que sur l'interface locale. }}
{{ Box Attention | objet=Si votre serveur est équipé d'un pare-feu, vous devez ouvrir le port tcp 3306. }}


* Redémarrer le service '''mysql''' pour appliquer les changements :
* Redémarrez le service '''mysql''' pour appliquer les changements :


{{ Box Console | objet=service mysql restart }}
{{ Box Console | objet=service mysql restart }}
Ligne 41 : Ligne 43 :
{{ Box Remarque | objet=Le compte root n'est accessible qu'en local uniquement. }}
{{ Box Remarque | objet=Le compte root n'est accessible qu'en local uniquement. }}


* On va créer l'utilisateur '''cacheln''' avec le mot de passe '''cacheln''' pouvant se connecter au compte depuis '''n'importe quelle machine''' ''(%)'' :
= Connexion SSL =
 
{{ Box Console | objet=CREATE USER 'cacheln'@'%' IDENTIFIED BY 'cacheln';<br />
GRANT USAGE ON * . * TO 'cacheln'@'%' IDENTIFIED BY 'cacheln' WITH MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ; }}
 
* On créer la base de données '''cacheln''' :
 
{{ Box Console | objet=CREATE DATABASE IF NOT EXISTS `cacheln`; }}
 
* On attribut tous les privilège à l'utilisateur '''cacheln''' sur la base de données '''cacheln''' :
 
{{ Box Console | objet=GRANT ALL PRIVILEGES ON `cacheln` . * TO 'cacheln'@'%'; }}


== SSL ==
Si le serveur '''MySQL''' reçoit des connexions depuis des machines extérieures, il est conseillé de mettre en place un accès chiffré de type '''SSL''' afin de garantir '''l'intégrité''' et la '''confidentialité''' des échanges.


* Vérifier votre version de '''Openssl''' avant de poursuivre :
== Autorité de certification ==


{{ Box Console | objet=<span style="font-family:sans-serif;color:blue">openssl version</span><br />
=== Création de la clé privée ===
OpenSSL 1.0.1c 10 May 2012 }}
 
La version '''1.0.1c''' n'est pas supporté par '''MySQL'''. Il sera nécessaire d'installer une version antérieure pour poursuivre.
 
=== Autorité de certification ===
 
==== Création de la clé privée ====


* On se place dans le dossier '''/etc/ssl/private''' qui contient les clés et certificats privées :
* On se place dans le dossier '''/etc/ssl/private''' qui contient les clés et certificats privées :
Ligne 77 : Ligne 61 :
Cette clé va nous permettre de signer nos propres certificats.
Cette clé va nous permettre de signer nos propres certificats.


==== Création du certificat auto-signé ====
=== Création du certificat auto-signé ===


* On lance la création du certificat auto-signé :
* On lance la création du certificat auto-signé :
Ligne 97 : Ligne 81 :
Email Address []:<span style="font-family:sans-serif;color:blue">tech@ncad.fr</span> }}
Email Address []:<span style="font-family:sans-serif;color:blue">tech@ncad.fr</span> }}


=== Certificat serveur ===
== Certificat serveur ==


* On génère la clé privée :
* On génère la clé privée :


{{ Box Console | objet=sudo openssl genrsa -out mysql.key 2048 }}
{{ Box Console | objet=sudo openssl genrsa -out mysql.key 1024 }}


* On génère un fichier de demande de signature de certificat :
* On génère un fichier de demande de signature de certificat :
Ligne 133 : Ligne 117 :
Getting CA Private Key }}
Getting CA Private Key }}


=== Certificat client ===
== Certificat client ==


{{ Box Information | objet=On va générer un certificat pour que la machine cliente 10.0.0.47 puisse se connecter au serveur MySQL en utilisant le chiffrement SSL. }}
{{ Box Information | objet=On va générer un certificat pour que la machine cliente 10.0.0.47 puisse se connecter au serveur MySQL en utilisant le chiffrement SSL. }}
Ligne 139 : Ligne 123 :
* On génère la clé privée :
* On génère la clé privée :


{{ Box Console | objet=sudo openssl genrsa -out client.key 2048 }}
{{ Box Console | objet=sudo openssl genrsa -out client.key 1024 }}


* On génère un fichier de demande de signature de certificat :
* On génère un fichier de demande de signature de certificat :
Ligne 175 : Ligne 159 :
{{ Box Remarque | objet=On aurez pu tout aussi bien générer le certificat directement depuis le machine cliente. Dans ce cas, nous aurions eu seulement besoin de copier le fichier ca.pem pour signer le certificat nouvellement généré. }}
{{ Box Remarque | objet=On aurez pu tout aussi bien générer le certificat directement depuis le machine cliente. Dans ce cas, nous aurions eu seulement besoin de copier le fichier ca.pem pour signer le certificat nouvellement généré. }}


=== Configuration du serveur MySQL ===
== Configuration du serveur MySQL ==


* On déplace les certificats crées dans '''/etc/ssl/private''' vers '''/etc/mysql/ssl'''
* On déplace les certificats crées dans '''/etc/ssl/private''' vers '''/etc/mysql/ssl'''
Ligne 211 : Ligne 195 :
{{ Box Console | objet=service mysql restart }}
{{ Box Console | objet=service mysql restart }}


=== Validation ===
== Validation ==


==== Connexion sans chiffrement ====
=== Connexion sans chiffrement ===


* Voici une capture de trame entre une connexion '''MySQL''' du '''client''' à l'adresse '''10.0.0.47''' au '''serveur''' MySQL à l'adresse '''10.0.0.44''' :
* Voici une capture de trame entre une connexion '''MySQL''' du '''client''' à l'adresse '''10.0.0.47''' au '''serveur''' MySQL à l'adresse '''10.0.0.44''' :
Ligne 221 : Ligne 205 :
<p style="font-family:cursive; text-align:center">Nous remarquons les divers échanges '''Request''' et '''Response''' entre le client et le serveur.</p>
<p style="font-family:cursive; text-align:center">Nous remarquons les divers échanges '''Request''' et '''Response''' entre le client et le serveur.</p>


==== Etat du module SSL ====
=== Etat du module SSL ===


* On se connecte normalement au '''serveur MySQL''' :
* On se connecte normalement au '''serveur MySQL''' :
Ligne 248 : Ligne 232 :
Les lignes '''have_openssl''' et '''have_ssl''' indique que le chiffrement au niveau du serveur est '''opérationnel'''.
Les lignes '''have_openssl''' et '''have_ssl''' indique que le chiffrement au niveau du serveur est '''opérationnel'''.


==== Connexion avec chiffrement ====
=== Connexion avec chiffrement ===


* Depuis notre '''machine client''' en '''10.0.0.47''', nous allons nous connecter au '''serveur MySQL''' en '''10.0.0.44''' :
* Depuis notre '''machine client''' en '''10.0.0.47''', nous allons nous connecter au '''serveur MySQL''' en '''10.0.0.44''' :
Ligne 274 : Ligne 258 :


<p style="font-family:cursive; text-align:center">Nous remarquons que les échanges '''Request''' et '''Response''' entre le client et le serveur ne sont plus visibles. La totalité des échanges sont chiffrés.</p>
<p style="font-family:cursive; text-align:center">Nous remarquons que les échanges '''Request''' et '''Response''' entre le client et le serveur ne sont plus visibles. La totalité des échanges sont chiffrés.</p>
[[Category:Bases de données]]

Dernière version du 6 juillet 2024 à 22:29

Topologie

  • Voici un schéma de la maquette qui sera utilisée pour illustrer cette documentation.
Fichier:MySQL Maquette

Installation

  • Depuis Ubuntu, le serveur MySQL s'installe depuis les paquets mysql-server et mysql-common.

sudo apt-get install mysql-server mysql-common

  • Pendant le processus d'installation, vous serez invité à renseigner le mot de passe du compte root pour le serveur.
  • Par défaut, le serveur écoute uniquement en local. Si vous souhaitez accéder au serveur depuis une autre machine, vous devez éditer le fichier de configuration /etc/mysql/my.cnf puis rechercher la ligne bind-address et indiquer l'adresse IP local du serveur (dans notre cas 10.0.0.44).
bind-address                 = 10.0.0.44

Si votre serveur est équipé d'un pare-feu, vous devez ouvrir le port tcp 3306.

  • Redémarrez le service mysql pour appliquer les changements :

service mysql restart

  • Première connexion au serveur avec le compte root :

mysql -u root -p
Enter password:
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 42
Server version: 5.5.35-0ubuntu0.12.04.2 (Ubuntu)

Copyright (c) 2000, 2013, Oracle and/or its affiliates. All rights reserved.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql>


Le compte root n'est accessible qu'en local uniquement.

Connexion SSL

Si le serveur MySQL reçoit des connexions depuis des machines extérieures, il est conseillé de mettre en place un accès chiffré de type SSL afin de garantir l'intégrité et la confidentialité des échanges.

Autorité de certification

Création de la clé privée

  • On se place dans le dossier /etc/ssl/private qui contient les clés et certificats privées :

cd /etc/ssl/private

  • On génère la clé privée :

sudo openssl genrsa -out ca.key 1024 -des3

Cette clé va nous permettre de signer nos propres certificats.

Création du certificat auto-signé

  • On lance la création du certificat auto-signé :

openssl req -new -x509 -nodes -days 365 -key ca.key -out ca.crt
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
- - - --
 Country Name (2 letter code) [AU]:FR
State or Province Name (full name) [Some-State]:Paris
Locality Name (eg, city) []:Paris
Organization Name (eg, company) [Internet Widgits Pty Ltd]:NCad Network
Organizational Unit Name (eg, section) []:Autorité de certification
Common Name (e.g. server FQDN or YOUR name) []:Murdoc Certificats pour GLX
Email Address []:tech@ncad.fr

Certificat serveur

  • On génère la clé privée :

sudo openssl genrsa -out mysql.key 1024

  • On génère un fichier de demande de signature de certificat :

sudo openssl req -new -key mysql.key -out mysql.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
- - - - -
 Country Name (2 letter code) [AU]:FR
State or Province Name (full name) [Some-State]:Paris
Locality Name (eg, city) []:Paris
Organization Name (eg, company) [Internet Widgits Pty Ltd]:NCad Network
Organizational Unit Name (eg, section) []:Intranet Goulouxiou
Common Name (e.g. server FQDN or YOUR name) []:10.0.0.44
Email Address []:tech@ncad.fr

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:N'importe quoi.
An optional company name []:NCad Network

  • On signe notre certificat à l'aide du certificat auto-signé de notre autorité de certification (précédemment créée) :

openssl x509 -req -in mysql.csr -days 365 -CA ca.crt -CAkey ca.key -set_serial 01 -out mysql.crt
Signature ok
subject=/C=FR/ST=Paris/L=Paris/O=NCad Network/OU=Intranet
Goulouxiou/CN=10.0.0.44/emailAddress=tech@ncad.fr
Getting CA Private Key

Certificat client

On va générer un certificat pour que la machine cliente 10.0.0.47 puisse se connecter au serveur MySQL en utilisant le chiffrement SSL.

  • On génère la clé privée :

sudo openssl genrsa -out client.key 1024

  • On génère un fichier de demande de signature de certificat :

sudo openssl req -new -key client.key -out client.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
- - - - -
 Country Name (2 letter code) [AU]:FR
State or Province Name (full name) [Some-State]:Paris
Locality Name (eg, city) []:Paris
Organization Name (eg, company) [Internet Widgits Pty Ltd]:NCad Network
Organizational Unit Name (eg, section) []:Intranet Goulouxiou
Common Name (e.g. server FQDN or YOUR name) []:10.0.0.47
Email Address []:tech@ncad.fr

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:N'importe quoi.
An optional company name []:NCad Network

  • On signe notre certificat à l'aide du certificat auto-signé de notre autorité de certification (précédemment créée) :

openssl x509 -req -in client.csr -days 365 -CA ca.crt -CAkey ca.key -set_serial 01 -out client.crt
Signature ok
subject=/C=FR/ST=Paris/L=Paris/O=NCad Network/OU=Intranet
Goulouxiou/CN=10.0.0.47/emailAddress=tech@ncad.fr
Getting CA Private Key

  • Les fichiers client.crt, client.key et ca.pem devront être copiés sur la machine cliente 10.0.0.47 dans notre cas.
On aurez pu tout aussi bien générer le certificat directement depuis le machine cliente. Dans ce cas, nous aurions eu seulement besoin de copier le fichier ca.pem pour signer le certificat nouvellement généré.

Configuration du serveur MySQL

  • On déplace les certificats crées dans /etc/ssl/private vers /etc/mysql/ssl

sudo mkdir -p /etc/mysql/ssl
cp /etc/ssl/private/ca.* /etc/mysql/ssl
cp /etc/ssl/private/mysql.* /etc/mysql/ssl

  • On applique les permissions et droits mysql sur les certificats :

sudo chown mysql:mysql /etc/mysql/ssl -R

  • On édite le fichier /etc/apparmor.d/usr.sbin.mysqld et on remplace :
/etc/mysql/*.pem r,
  • Par :
/etc/mysql/ssl/*.pem r,
/etc/mysql/ssl/*.crt r,
/etc/mysql/ssl/*.key r,
  • On redémarre le service apparmor pour appliquer les modifications :

service apparmor restart

  • On édite le fichier de configuration /etc/mysql/my.cnf et on y dé-commente et adapte les lignes suivantes dans la section [mysqld] :
ssl-ca=/etc/mysq/ssl/ca.crt
ssl-cert=/etc/mysql/ssl/mysql.crt
ssl-key=/etc/mysql/ssl/mysql.key
  • On redémarre le service mysql pour appliquer les modifications :

service mysql restart

Validation

Connexion sans chiffrement

  • Voici une capture de trame entre une connexion MySQL du client à l'adresse 10.0.0.47 au serveur MySQL à l'adresse 10.0.0.44 :
MySQL Clear.png

Nous remarquons les divers échanges Request et Response entre le client et le serveur.

Etat du module SSL

  • On se connecte normalement au serveur MySQL :

mysql -h 10.0.0.44 -u cacheln -p

  • Une fois le prompt prêt on saisit la commande show variables like "%ssl%"; :

mysql> show variables like "%ssl%";

  • Et qui doit retourner :
+---------------+--------------------------+
| Variable_name | Value                    |
+---------------+--------------------------+
| have_openssl  | YES                      |
| have_ssl      | YES                      |
| ssl_ca        | /etc/mysq/ssl/ca.crt     |
| ssl_capath    |                          |
| ssl_cert      | /etc/mysql/ssl/mysql.crt |
| ssl_cipher    |                          |
| ssl_key       | /etc/mysql/ssl/mysql.key |
+---------------+--------------------------+
7 rows in set (0.02 sec)

Les lignes have_openssl et have_ssl indique que le chiffrement au niveau du serveur est opérationnel.

Connexion avec chiffrement

  • Depuis notre machine client en 10.0.0.47, nous allons nous connecter au serveur MySQL en 10.0.0.44 :

mysql -h 10.0.0.44 -u cacheln -p --ssl-ca=/etc/mysql/ssl/ca.pem --ssl-cert=/etc/mysql/ssl/client.crt --ssl-key=/etc/mysql/ssl/client.key

  • Une fois le prompt prêt on saisit la commande show variables like "%ssl%"; :

mysql> show status like 'Ssl_cipher';

  • Et qui doit retourner :
+---------------+--------------------+
| Variable_name | Value              |
+---------------+--------------------+
| Ssl_cipher    | DHE-RSA-AES256-SHA |
+---------------+--------------------+
1 row in set (0.01 sec)

La ligne Ssl_cipher nous indique le mode de chiffrement employé. Si ce dernier n'était pas utilisé pour la connexion en cours, la valeur aurait été nulle.

  • Maintenant, voici une capture de trame entre une connexion MySQL du client à l'adresse 10.0.0.47 au serveur MySQL à l'adresse 10.0.0.44 :
MySQL SSL.png

Nous remarquons que les échanges Request et Response entre le client et le serveur ne sont plus visibles. La totalité des échanges sont chiffrés.

Récupérée de « https://wiki.ncad.fr/index.php?title=MySQL&oldid=3349 »