From dae082453ef77e4bdbce062c9edda06ebd787008 Mon Sep 17 00:00:00 2001 From: pingcap-github-bot Date: Wed, 10 Jun 2020 10:26:47 +0800 Subject: [PATCH] secure: fix secure-related docs (#3507) (#3580) * cherry pick #3507 to release-4.0 Signed-off-by: sre-bot * Update enable-tls-between-clients-and-servers.md Co-authored-by: Keke Yi <40977455+yikeke@users.noreply.github.com> --- TOC.md | 2 +- _index.md | 2 +- certificate-authentication.md | 2 +- dashboard/dashboard-ops-security.md | 2 +- ...s.md => enable-tls-between-clients-and-servers.md | 6 +++--- enable-tls-between-components.md | 12 ++++++------ sql-statements/sql-statement-alter-instance.md | 2 +- whats-new-in-tidb-4.0.md | 2 +- 8 files changed, 15 insertions(+), 15 deletions(-) rename enable-tls-between-clients.md => enable-tls-between-clients-and-servers.md (96%) diff --git a/TOC.md b/TOC.md index 81416c7ce669..aaf4850aa3e9 100644 --- a/TOC.md +++ b/TOC.md @@ -204,7 +204,7 @@ + [TiKV 面板](/grafana-tikv-dashboard.md) + [TiFlash 监控指标](/tiflash/monitor-tiflash.md) + 安全加固 - + [为 TiDB 客户端服务端间通信开启加密传输](/enable-tls-between-clients.md) + + [为 TiDB 客户端服务端间通信开启加密传输](/enable-tls-between-clients-and-servers.md) + [为 TiDB 组件间通信开启加密传输](/enable-tls-between-components.md) + [为 TiDB 开启数据加密存储](/enable-encrypt-stored-data.md) + [生成自签名证书](/generate-self-signed-certificates.md) diff --git a/_index.md b/_index.md index a17356eaf194..e41d83193e8d 100755 --- a/_index.md +++ b/_index.md @@ -93,7 +93,7 @@ TiDB 是 PingCAP 公司自主设计、研发的开源分布式关系型数据库 - [TiDB 架构](/tidb-architecture.md) - [监控指标](/grafana-overview-dashboard.md) -- [安全加固](/enable-tls-between-clients.md) +- [安全加固](/enable-tls-between-clients-and-servers.md) - [权限管理](/privilege-management.md) - [基于角色的访问控制](/role-based-access-control.md) - [证书鉴权](/certificate-authentication.md) diff --git a/certificate-authentication.md b/certificate-authentication.md index e838a00aed78..c22dfcfb26ed 100644 --- a/certificate-authentication.md +++ b/certificate-authentication.md @@ -20,7 +20,7 @@ TiDB 支持基于证书鉴权的登录方式。采用这种方式，TiDB 对不 ## 创建安全密钥和证书 -目前推荐使用 [OpenSSL](https://www.openssl.org/) 来生成密钥和证书，生成证书的过程和[为 TiDB 客户端服务端间通信开启加密传输](/enable-tls-between-clients.md)过程类似，下面更多演示如何在证书中配置更多需校验的属性字段。 +目前推荐使用 [OpenSSL](https://www.openssl.org/) 来生成密钥和证书，生成证书的过程和[为 TiDB 客户端服务端间通信开启加密传输](/enable-tls-between-clients-and-servers.md)过程类似，下面更多演示如何在证书中配置更多需校验的属性字段。 ### 生成 CA 密钥和证书 diff --git a/dashboard/dashboard-ops-security.md b/dashboard/dashboard-ops-security.md index 16ab244d9c45..7ebe4e04baba 100644 --- a/dashboard/dashboard-ops-security.md +++ b/dashboard/dashboard-ops-security.md @@ -73,4 +73,4 @@ http://192.168.0.123:2379/dashboard/ ## 其他建议的安全措施 - [为 TiDB 组件间通信开启加密传输](/enable-tls-between-components.md) -- [为 TiDB 客户端服务端间通信开启加密传输](/enable-tls-between-clients.md) +- [为 TiDB 客户端服务端间通信开启加密传输](/enable-tls-between-clients-and-servers.md) diff --git a/enable-tls-between-clients.md b/enable-tls-between-clients-and-servers.md similarity index 96% rename from enable-tls-between-clients.md rename to enable-tls-between-clients-and-servers.md index 0f9261202dee..dd531bd2b008 100644 --- a/enable-tls-between-clients.md +++ b/enable-tls-between-clients-and-servers.md @@ -1,7 +1,7 @@ --- title: 为 TiDB 客户端服务端间通信开启加密传输 category: how-to -aliases: ['/docs-cn/stable/how-to/secure/enable-tls-clients/','/docs-cn/stable/encrypted-connections-with-tls-protocols/'] +aliases: ['/docs-cn/stable/how-to/secure/enable-tls-clients/','/docs-cn/stable/encrypted-connections-with-tls-protocols/','/docs-cn/stable/enable-tls-between-clients/'] --- # 为 TiDB 客户端服务端间通信开启加密传输 @@ -178,6 +178,6 @@ TiDB 支持的 TLS 版本及密钥交换协议和加密算法由 Golang 官方 新加载的证书密钥和 CA 将在语句执行成功后对新建立的连接生效，不会影响语句执行前已建立的连接。 -### TiDB 集群内组件间加密传输 +## 另请参阅 -本文介绍的是 TiDB 服务端与客户端之间如何开启加密传输， 对于 TiDB 集群内组件的加密传输配置请参考[为 TiDB 组件间通信开启加密传输](/enable-tls-between-components.md)。 +- [为 TiDB 组件间通信开启加密传输](/enable-tls-between-components.md) diff --git a/enable-tls-between-components.md b/enable-tls-between-components.md index 119685c8efa2..de4348db00eb 100644 --- a/enable-tls-between-components.md +++ b/enable-tls-between-components.md @@ -4,7 +4,7 @@ category: how-to aliases: ['/docs-cn/stable/how-to/secure/enable-tls-between-components/'] --- -## 为 TiDB 组件间通信开启加密传输 +# 为 TiDB 组件间通信开启加密传输 本部分介绍如何为 TiDB 集群内各部组件间开启加密传输，一旦开启以下组件间均将使用加密传输： @@ -15,7 +15,7 @@ aliases: ['/docs-cn/stable/how-to/secure/enable-tls-between-components/'] 目前暂不支持只开启其中部分组件的加密传输。 -### 配置开启加密传输 +## 配置开启加密传输 1. 准备证书。 @@ -91,7 +91,7 @@ aliases: ['/docs-cn/stable/how-to/secure/enable-tls-between-components/'] ./tikv-ctl --host="127.0.0.1:20160" --ca-path="/path/to/ca.pem" --cert-path="/path/to/client.pem" --key-path="/path/to/clinet-key.pem" ``` -### 认证组件调用者身份 +## 认证组件调用者身份 通常被调用者除了校验调用者提供的密钥、证书和 CA 有效性外，还需要校验调用方身份以防止拥有有效证书的非法访问者进行访问（例如：TiKV 只能被 TiDB 访问，需阻止拥有合法证书但非 TiDB 的其他访问者访问 TiKV）。 @@ -129,10 +129,10 @@ aliases: ['/docs-cn/stable/how-to/secure/enable-tls-between-components/'] cert-allowed-cn = ["TiKV-Server", "TiDB-Server", "PD-Control"] ``` -### 证书重加载 +## 证书重加载 TiDB、PD 和 TiKV 和各种 Client 都会在每次新建相互通讯的连接时重新读取当前的证书和密钥文件内容，实现证书和密钥的重加载。目前暂不支持 CA 的重加载。 -### TiDB 服务端与客户端加密传输 +## 另请参阅 -本文介绍的是 TiDB 集群内各部组件如何开启加密传输， 对于 TiDB 服务端与客户端之间的加密传输配置请参考[为 TiDB 客户端服务端间通信开启加密传输](/enable-tls-between-clients.md)，客户端应用与 TiDB 之间通讯可以使用与本文介绍的内部集群间通讯证书完全不同的另一套证书。 +- [为 TiDB 客户端服务端间通信开启加密传输](/enable-tls-between-clients-and-servers.md) diff --git a/sql-statements/sql-statement-alter-instance.md b/sql-statements/sql-statement-alter-instance.md index d79f2b436318..0bb421a65b32 100644 --- a/sql-statements/sql-statement-alter-instance.md +++ b/sql-statements/sql-statement-alter-instance.md @@ -41,4 +41,4 @@ ALTER INSTANCE RELOAD TLS; ## 另请参阅 -[MySQL 客户端开启 TLS](/enable-tls-between-clients.md) +[为 TiDB 客户端服务端间通信开启加密传输](/enable-tls-between-clients-and-servers.md) diff --git a/whats-new-in-tidb-4.0.md b/whats-new-in-tidb-4.0.md index a5da6851d910..678bb1a21b67 100644 --- a/whats-new-in-tidb-4.0.md +++ b/whats-new-in-tidb-4.0.md @@ -80,7 +80,7 @@ TiUP 是 4.0 版本中新推出的包管理器的工具，主要用于管理 TiD ### 安全 -+ 完善客户端与服务端，组件与组件之间的加密通信，确保连接安全性，保护接收与发送的任何数据不会被网络犯罪分子读取和修改。主要支持基于证书的登录认证、在线更新证书、校验 TLS 证书的 `CommonName` 属性等功能。详情参阅：[开启加密传输](/enable-tls-between-clients.md)。 ++ 完善客户端与服务端，组件与组件之间的加密通信，确保连接安全性，保护接收与发送的任何数据不会被网络犯罪分子读取和修改。主要支持基于证书的登录认证、在线更新证书、校验 TLS 证书的 `CommonName` 属性等功能。详情参阅：[开启加密传输](/enable-tls-between-clients-and-servers.md)。 + 透明数据加密 (Transparent Data Encryption)，简称 TDE，是 TiDB 推出的一个新特性，用来对整个数据库提供保护。数据库开启 TDE 加密功能后，对于连接到数据库的应用程序来说是完全透明的，它不需要对现有应用程序做任何改变。因为TDE 的加密特性是基本于文件级别的，系统会在将数据写到磁盘之前加密，在读取到内存之前解密，确保数据的安全性。目前主要支持 AES128-CTR、AES192-CTR、AES256-CTR 三种加密算法，支持通过 AWS KMS 管理密钥等功能。详情参阅：[开启加密存储](/enable-encrypt-stored-data.md)。 ### 备份与恢复