← Hyperdrive (Postgres & MySQL) / hyperdrive / configuration

Certifikáty SSL/TLS

Hyperdrive nabízí další způsoby zabezpečení připojení k vaší databázi. Hyperdrive podporuje:

1. Certifikáty serveru pro režimy TLS (SSL), jako je verify-ca/VERIFY_CA a verify-full/VERIFY_IDENTITY kvůli vyššímu zabezpečení. Po nakonfigurování Hyperdrive ověří, že certifikáty podepsala očekávaná certifikační autorita (CA), aby se předešlo útokům typu man in the middle.
2. Klientské certifikáty aby se Hyperdrive mohl u vaší databáze ověřit pomocí přihlašovacích údajů nad rámec uživatelského jména a hesla. Aby bylo možné klientské certifikáty správně používat, musí být vaše databáze nakonfigurována tak, aby ověřovala klientské certifikáty poskytnuté klientem, jako je Hyperdrive, a umožnila mu tak přístup k databázi.

Hyperdrive lze nakonfigurovat tak, aby používal pouze serverové certifikáty, pouze klientské certifikáty, nebo obojí, podle vašich bezpečnostních požadavků a konfigurace databáze.

Hyperdrive podporuje běžné šifrovací režimy TLS/SSL pro připojení k vaší databázi. Názvy režimů se u PostgreSQL a MySQL liší:

Všechny konfigurace Hyperdrive jsou ve výchozím nastavení šifrovány pomocí SSL/TLS (require/REQUIRED). To vyžaduje, aby byla vaše databáze nastavena tak, aby přijímala šifrovaná připojení (pomocí SSL/TLS).

Hyperdrive můžete nakonfigurovat tak, aby používal verify-ca/VERIFY_CA a verify-full/VERIFY_IDENTITY pro přísnější konfiguraci zabezpečení, která poskytuje další kontroly ověření certifikátů serveru. To pomáhá chránit před útoky typu man in the middle.

Aby Hyperdrive ověřoval certifikáty serveru, musíte mu poskytnout certifikát kořenové certifikační autority (CA) nebo mezilehlý certifikát, kterým byl podepsán certifikát vaší databáze.

Pomocí Wrangler můžete nahrát certifikát své kořenové certifikační autority (CA):

# requires Wrangler 4.9.0 or greater
npx wrangler cert upload certificate-authority --ca-cert \<ROUTE_TO_CA_PEM_FILE\>.pem --name \<CUSTOM_NAME_FOR_CA_CERT\>

---

Uploading CA Certificate tmp-cert...
Success! Uploaded CA Certificate <CUSTOM_NAME_FOR_CA_CERT>
ID: <YOUR_ID_FOR_THE_CA_CERTIFICATE>
...

Jakmile je váš certifikát CA vytvořen, můžete pomocí dashboardu nebo Wrangler vytvořit konfiguraci Hyperdrive s nově vytvořenými certifikáty. Musíte také zadat režim SSL, který se má použít (verify-ca/verify-full pro PostgreSQL nebo VERIFY_CA/VERIFY_IDENTITY pro MySQL).

# PostgreSQL with verify-full
npx wrangler hyperdrive create <NAME_OF_HYPERDRIVE_CONFIG> --connection-string="postgres://user:password@HOSTNAME_OR_IP_ADDRESS:PORT/database_name" --ca-certificate-id <YOUR_CA_CERT_ID> --sslmode verify-full

# MySQL with VERIFY_IDENTITY
npx wrangler hyperdrive create <NAME_OF_HYPERDRIVE_CONFIG> --connection-string="mysql://user:password@HOSTNAME_OR_IP_ADDRESS:PORT/database_name" --ca-certificate-id <YOUR_CA_CERT_ID> --sslmode VERIFY_IDENTITY

Při vytváření konfigurace Hyperdrive se Hyperdrive pokusí připojit k databázi pomocí zadaných přihlašovacích údajů. Pokud příkaz skončí úspěšně, máte konfiguraci Hyperdrive nastavenou správně a ta ověřuje certifikáty poskytnuté vaším databázovým serverem.

Vaši databázi lze nakonfigurovat tak, aby ověřovala certifikát poskytnutý klientem (v tomto případě Hyperdrive). Slouží to jako další faktor ověřování klientů (kromě uživatelského jména a hesla). Viz PostgreSQL ↗ nebo MySQL ↗ dokumentaci, kde najdete další podrobnosti.

Aby mohl databázový server ověřit klientské certifikáty, musí být Hyperdrive nakonfigurován tak, aby poskytoval soubor s certifikátem (client-cert.pem) a soukromý klíč, se kterým byl certifikát vygenerován (private-key.pem).

Nahrajte klientské certifikáty, které bude Hyperdrive používat, pomocí nástroje Wrangler:

# requires Wrangler 4.9.0 or greater
npx wrangler cert upload mtls-certificate --cert client-cert.pem --key client-key.pem --name <CUSTOM_NAME_FOR_CLIENT_CERTIFICATE>

---

Uploading client certificate <CUSTOM_NAME_FOR_CLIENT_CERTIFICATE>...
Success! Uploaded client certificate <CUSTOM_NAME_FOR_CLIENT_CERTIFICATE>
ID: <YOUR_ID_FOR_THE_CLIENT_CERTIFICATE_PAIR>
...

Nyní můžete pomocí dashboardu nebo Wrangleru vytvořit konfiguraci Hyperdrive s nově vytvořenou sadou klientských certifikátů.

# PostgreSQL
npx wrangler hyperdrive create <NAME_OF_HYPERDRIVE_CONFIG> --connection-string="postgres://user:password@HOSTNAME_OR_IP_ADDRESS:PORT/database_name" --mtls-certificate-id <YOUR_CLIENT_CERT_PAIR_ID>

# MySQL
npx wrangler hyperdrive create <NAME_OF_HYPERDRIVE_CONFIG> --connection-string="mysql://user:password@HOSTNAME_OR_IP_ADDRESS:PORT/database_name" --mtls-certificate-id <YOUR_CLIENT_CERT_PAIR_ID>

Při připojování k databázi předá Hyperdrive databázovému serveru klientský certifikát podepsaný privátním klíčem. Databázový server tak může ověřit, že klient, v tomto případě Hyperdrive, disponuje jak privátním klíčem, tak klientským certifikátem. Použitím klientských certifikátů získáte pro svou databázi další úroveň ověřování, díky které k ní bude moci přistupovat pouze Hyperdrive.