SQL Server-on-Linux への接続を暗号化する

次のセクションでは、クライアントによって開始される暗号化の設定について説明します。

証明書の生成

/CN は、SQL Server ホストの完全修飾ドメイン名と一致する必要があります。

証明書と秘密キーを保存するフォルダーが、mssql ユーザーまたはグループによってアクセス可能であり、権限が 700 (drwx-----) に設定されていることを確認してください。 フォルダーは、権限セットを 700 (drwx------) に設定し、mssql ユーザーまたはグループが所有する、またはアクセス許可を 755 (drwxr-xr-x) に設定し、他のユーザーが所有していても mssql ユーザー グループがアクセスできるよう手動で作成することができます。 たとえば、次のサンプルに示すように、パス /var/opt/mssql/ の下にある sslcert というフォルダーを作成し、ファイルに対するアクセス許可を 600 に設定して証明書と秘密キーを保存できます。

openssl req -x509 -nodes -newkey rsa:2048 -subj '/CN=mssql.contoso.com' -keyout mssql.key -out mssql.pem -days 365
sudo chown mssql:mssql mssql.pem mssql.key
sudo chmod 600 mssql.pem mssql.key
#Saving the certificate to the certs folder under /etc/ssl/ which has the following permission 755(drwxr-xr-x)
sudo mv mssql.pem /etc/ssl/certs/ drwxr-xr-x
#Saving the private key to the private folder under /etc/ssl/ with permissions set to 755(drwxr-xr-x)
sudo mv mssql.key /etc/ssl/private/

SQL Server を構成する

systemctl stop mssql-server
sudo cat /var/opt/mssql/mssql.conf
sudo /opt/mssql/bin/mssql-conf set network.tlscert /etc/ssl/certs/mssql.pem
sudo /opt/mssql/bin/mssql-conf set network.tlskey /etc/ssl/private/mssql.key
sudo /opt/mssql/bin/mssql-conf set network.tlsprotocols 1.2
sudo /opt/mssql/bin/mssql-conf set network.forceencryption 0
systemctl restart mssql-server

クライアント コンピューター (Windows、Linux、または macOS) に証明書を登録する

• CA の署名入り証明書を使用する場合は、ユーザー証明書ではなく、証明機関 (CA) 証明書をクライアント コンピューターにコピーする必要があります。

• 自己署名証明書を使用している場合は、各ディストリビューションの次のフォルダーに .pem ファイルをコピーし、それらを有効にするコマンドを実行します。

• Ubuntu: 証明書を /usr/share/ca-certificates/ にコピーし、その拡張子を .crt に変更し、dpkg-reconfigure ca-certificates を使用してシステム CA 証明書として有効にします。

• RHEL: 証明書を /etc/pki/ca-trust/source/anchors/ にコピーし、update-ca-trust を使用してシステム CA 証明書として有効にします。

• SUSE: 証明書を /usr/share/pki/trust/anchors/ にコピーし、update-ca-certificates を使用してシステム CA 証明書として有効にします。

• Windows: [現在のユーザー] > [信頼されたルート証明機関] > [証明書] で、.pem ファイルを証明書としてインポートします。

• macOS:

  • 証明書を /usr/local/etc/openssl/certs にコピーします。

  • 次のコマンドを実行して、ハッシュ値を取得します。

    /usr/local/Cellar/openssl/1.0.2l/openssl x509 -hash -in mssql.pem -noout
    

  • 証明書の名前を値に変更します。 (例: mv mssql.pem dc2dd900.0)。 dc2dd900.0 が /usr/local/etc/openssl/certs に入力されていることを確認します。

接続文字列の例

• SQL Server Management Studio

  

• sqlcmd

  sqlcmd -S <sqlhostname> -N -U sa -P '<password>'

• ADO.NET

  "Encrypt=True; TrustServerCertificate=False;"

• ODBC

  "Encrypt=Yes; TrustServerCertificate=no;"

• JDBC

  "encrypt=true; trustServerCertificate=false;"

次のセクションでは、サーバーによって開始される暗号化の設定について説明します。

証明書の生成

/CN は、SQL Server ホストの完全修飾ドメイン名と一致する必要があります。

openssl req -x509 -nodes -newkey rsa:2048 -subj '/CN=mssql.contoso.com' -keyout mssql.key -out mssql.pem -days 365
sudo chown mssql:mssql mssql.pem mssql.key
sudo chmod 600 mssql.pem mssql.key
sudo mv mssql.pem /etc/ssl/certs/
sudo mv mssql.key /etc/ssl/private/

SQL Server を構成する

systemctl stop mssql-server
sudo cat /var/opt/mssql/mssql.conf
sudo /opt/mssql/bin/mssql-conf set network.tlscert /etc/ssl/certs/mssql.pem
sudo /opt/mssql/bin/mssql-conf set network.tlskey /etc/ssl/private/mssql.key
sudo /opt/mssql/bin/mssql-conf set network.tlsprotocols 1.2
sudo /opt/mssql/bin/mssql-conf set network.forceencryption 1
systemctl restart mssql-server

接続文字列の例

• sqlcmd

  sqlcmd -S <sqlhostname> -U sa -P '<password>'

• ADO.NET

  "Encrypt=False; TrustServerCertificate=False;"

• ODBC

  "Encrypt=no; TrustServerCertificate=no;"

• JDBC

  "encrypt=false; trustServerCertificate=false;"