セキュアトランスポートレイヤープロトコル（TLS）は、2つの通信アプリケーション間で機密性とデータの整合性を提供するために使用されます。OceanBaseデータベースは、既存のTCP通信にSSL/TLSプロトコルを拡張してサポートし、通信の暗号化問題を解決します。暗号化転送を使用することで、データベース内の機密情報の漏洩リスクを低減できます。暗号化転送とは、鍵を用いて情報を暗号化および復号するプロセスであり、データの安全性を効果的に保護できます。具体的には、データベースの暗号化転送はSSLまたはTLSプロトコルを通じて実現できます。
OceanBaseデータベースは、製品アーキテクチャの観点から以下の3つの基本部分に分けられます。
そのうち、2種類のプロトコルが通信に使用されます：
MySQLプロトコル：ドライバーレイヤーとデータリンク層、データリンク層とDB層との間の通信には、拡張されたMySQLプロトコルが使用されます。通信の暗号化を有効にすると、暗号化は即時に適用され、すべての新しいMySQL接続は暗号化された方法で通信されます。
OB-RPCプロトコル：OBServer間およびOBServerとliboblog、ob_adminなどとの間の通信には、OBServer独自のRPCプロトコルが使用されます。内部ノード間の接続はすべて長時間接続であるため、暗号化を有効にしても、内部ノード間の通信は引き続き元の非暗号化方式で行われます。OceanBaseクラスタの再起動後に初めて、内部ノード間の通信暗号化が有効になります。
データリンク層のOBProxy、DB層のOBServer、liboblog、obadminなどのコンポーネントはすべて、SSL/TLS暗号化通信をサポートしており、その基盤としてOpenSSLまたはサードパーティのSSLライブラリに依存しています。これにより、業務に対して安全な暗号化転送サービスを提供します。
OceanBaseデータベースは、各ユーザーに異なるSSL認証メカニズムの選択肢を提供します。これには以下が含まれます：
- SSL一方向認証：クライアントはサーバー側のCA証明書を読み込む必要があります。クライアントはサーバー側の証明書の有効性を一方向で検証します。
- X509双方向認証：サーバー側とクライアント側はそれぞれ、相手側のCA証明書を読み込み、双方で証明書の有効性を相互に検証します。
- 特別な双方向認証（組み合わせ可能）：
- 指定された暗号アルゴリズムによる認証：X509双方向認証に基づき、同時にSSL暗号アルゴリズムを制限します。
- 指定された発行者による認証：X509双方向認証に基づき、同時にクライアント側のCA証明書の発行者を制限します。
- 指定されたSSLサブジェクトによる認証：X509双方向認証に基づき、同時にクライアント側のCA証明書のサブジェクトを制限します。