證不是裝完證書就結(jié)束：連接驗收清單)
證書文件復(fù)制到服務(wù)器和客戶端后連接成功只能證明某條路徑可用不能證明身份校驗完整?？蛻舳丝赡軟]有驗證服務(wù)端服務(wù)端也可能只校驗證書由可信 CA 簽發(fā)卻沒有把證書身份與數(shù)據(jù)庫用戶正確對應(yīng)。驗收必須同時覆蓋信任鏈、名稱映射、認(rèn)證規(guī)則和證書生命周期。KES 官方安全指南說明SSL 客戶端證書認(rèn)證會要求客戶端提供有效可信證書并將證書CN與請求的數(shù)據(jù)庫用戶名比較也可以通過用戶名映射處理二者不同的情況。這個映射邊界是驗收重點(diǎn)不能只看證書“有效”?！?可信證書、正確身份和正確規(guī)則缺一不可。建立一套最小測試矩陣準(zhǔn)備合法用戶證書、另一用戶證書、非可信 CA 證書、過期測試證書和無證書客戶端。對同一數(shù)據(jù)庫執(zhí)行連接記錄期望結(jié)果合法證書與正確用戶名成功用戶名不匹配、非可信證書、過期證書和缺少證書應(yīng)失敗。如果配置了用戶名映射再增加映射內(nèi)與映射外兩組用例。映射規(guī)則應(yīng)精確到業(yè)務(wù)所需范圍不要用一個寬泛規(guī)則讓任意證書身份都能映射成高權(quán)限數(shù)據(jù)庫用戶。測試過程中不要把私鑰、口令或完整證書內(nèi)容貼進(jìn)問題單。記錄證書序列號、指紋末尾、用途和有效期即可定位敏感文件通過受控渠道分發(fā)。檢查第一條匹配規(guī)則sys_hba.conf按連接類型、數(shù)據(jù)庫、用戶和來源地址從上到下匹配命中后認(rèn)證失敗不會自動回退到后續(xù)規(guī)則。連接被拒絕時先找到實(shí)際匹配行不要在文件末尾不斷追加“臨時允許”。證書認(rèn)證規(guī)則還要與 SSL 服務(wù)端配置配套。若hostssl沒有生效問題可能在證書文件、私鑰權(quán)限、服務(wù)端 SSL 開關(guān)或啟動日志而不一定是用戶證書。按鏈路排查比反復(fù)修改認(rèn)證方法更安全。驗證輪換不只驗證首次部署證書系統(tǒng)最大的現(xiàn)場風(fēng)險通常出現(xiàn)在到期和輪換。測試新舊證書重疊期、替換順序、客戶端重連和舊證書失效。連接池里的舊連接會延遲暴露問題應(yīng)主動關(guān)閉一部分連接確認(rèn)新建連接使用新證書。還要演練一張客戶端證書泄露后的處置如何阻斷、如何更新信任或吊銷信息、哪些應(yīng)用受影響、怎樣確認(rèn)舊證書不能再登錄。若只能“等它過期”證書生命周期管理就不完整。— 成功一條、失敗多條才能證明身份邊界存在。把時間同步納入檢查證書有效性依賴時間。數(shù)據(jù)庫服務(wù)器、客戶端和簽發(fā)系統(tǒng)時間偏差可能造成尚未生效或已過期判斷異常。將時間同步狀態(tài)加入巡檢并讓到期告警覆蓋所有實(shí)例、客戶端和備用節(jié)點(diǎn)。高可用環(huán)境中每個可能接管服務(wù)的節(jié)點(diǎn)都要具備正確證書和權(quán)限。只在當(dāng)前主節(jié)點(diǎn)驗證一旦切換可能立刻失敗。通過實(shí)際切換演練或隔離驗證確認(rèn)備用節(jié)點(diǎn)而不是僅比較文件名。最終驗收材料應(yīng)包括測試矩陣、結(jié)果、匹配規(guī)則、證書有效期、輪換負(fù)責(zé)人和回滾步驟。證書認(rèn)證的完成標(biāo)志不是“文件裝好了”而是錯誤身份確實(shí)進(jìn)不來正確身份在輪換和切換后仍能穩(wěn)定連接。證書分發(fā)也需要可追溯?？蛻舳怂借€只發(fā)給對應(yīng)運(yùn)行主體禁止多人共用同一份高權(quán)限證書自動化分發(fā)平臺應(yīng)記錄目標(biāo)、版本和時間不在普通日志輸出文件內(nèi)容。設(shè)備或主機(jī)下線時同步回收證書不要只刪除應(yīng)用目錄。對于用戶名映射建議保留一份可審閱的規(guī)則表證書身份、數(shù)據(jù)庫角色、業(yè)務(wù)系統(tǒng)、批準(zhǔn)人和有效期。每次增加映射都做沖突檢查防止一張證書通過多條寬泛規(guī)則落到不同角色。刪除映射后用原證書做拒絕測試確認(rèn)緩存或舊連接沒有留下入口。最后抽查審計記錄能否識別證書登錄對應(yīng)的數(shù)據(jù)庫用戶和來源。認(rèn)證負(fù)責(zé)阻止非法進(jìn)入審計負(fù)責(zé)證明誰曾進(jìn)入兩條鏈路需要在同一次演練中閉環(huán)。客戶端驗收要覆蓋實(shí)際驅(qū)動和連接池命令行成功不代表應(yīng)用使用的信任庫與主機(jī)名校驗也正確。參考資料KES 官方安全指南SSL 客戶端證書認(rèn)證 證書認(rèn)證不是裝完證書就結(jié)束：連接驗收清單
證書文件復(fù)制到服務(wù)器和客戶端后連接成功只能證明某條路徑可用不能證明身份校驗完整?？蛻舳丝赡軟]有驗證服務(wù)端服務(wù)端也可能只校驗證書由可信 CA 簽發(fā)卻沒有把證書身份與數(shù)據(jù)庫用戶正確對應(yīng)。驗收必須同時覆蓋信任鏈、名稱映射、認(rèn)證規(guī)則和證書生命周期。KES 官方安全指南說明SSL 客戶端證書認(rèn)證會要求客戶端提供有效可信證書并將證書CN與請求的數(shù)據(jù)庫用戶名比較也可以通過用戶名映射處理二者不同的情況。這個映射邊界是驗收重點(diǎn)不能只看證書“有效”?！?可信證書、正確身份和正確規(guī)則缺一不可。建立一套最小測試矩陣準(zhǔn)備合法用戶證書、另一用戶證書、非可信 CA 證書、過期測試證書和無證書客戶端。對同一數(shù)據(jù)庫執(zhí)行連接記錄期望結(jié)果合法證書與正確用戶名成功用戶名不匹配、非可信證書、過期證書和缺少證書應(yīng)失敗。如果配置了用戶名映射再增加映射內(nèi)與映射外兩組用例。映射規(guī)則應(yīng)精確到業(yè)務(wù)所需范圍不要用一個寬泛規(guī)則讓任意證書身份都能映射成高權(quán)限數(shù)據(jù)庫用戶。測試過程中不要把私鑰、口令或完整證書內(nèi)容貼進(jìn)問題單。記錄證書序列號、指紋末尾、用途和有效期即可定位敏感文件通過受控渠道分發(fā)。檢查第一條匹配規(guī)則sys_hba.conf按連接類型、數(shù)據(jù)庫、用戶和來源地址從上到下匹配命中后認(rèn)證失敗不會自動回退到后續(xù)規(guī)則。連接被拒絕時先找到實(shí)際匹配行不要在文件末尾不斷追加“臨時允許”。證書認(rèn)證規(guī)則還要與 SSL 服務(wù)端配置配套。若hostssl沒有生效問題可能在證書文件、私鑰權(quán)限、服務(wù)端 SSL 開關(guān)或啟動日志而不一定是用戶證書。按鏈路排查比反復(fù)修改認(rèn)證方法更安全。驗證輪換不只驗證首次部署證書系統(tǒng)最大的現(xiàn)場風(fēng)險通常出現(xiàn)在到期和輪換。測試新舊證書重疊期、替換順序、客戶端重連和舊證書失效。連接池里的舊連接會延遲暴露問題應(yīng)主動關(guān)閉一部分連接確認(rèn)新建連接使用新證書。還要演練一張客戶端證書泄露后的處置如何阻斷、如何更新信任或吊銷信息、哪些應(yīng)用受影響、怎樣確認(rèn)舊證書不能再登錄。若只能“等它過期”證書生命周期管理就不完整。— 成功一條、失敗多條才能證明身份邊界存在。把時間同步納入檢查證書有效性依賴時間。數(shù)據(jù)庫服務(wù)器、客戶端和簽發(fā)系統(tǒng)時間偏差可能造成尚未生效或已過期判斷異常。將時間同步狀態(tài)加入巡檢并讓到期告警覆蓋所有實(shí)例、客戶端和備用節(jié)點(diǎn)。高可用環(huán)境中每個可能接管服務(wù)的節(jié)點(diǎn)都要具備正確證書和權(quán)限。只在當(dāng)前主節(jié)點(diǎn)驗證一旦切換可能立刻失敗。通過實(shí)際切換演練或隔離驗證確認(rèn)備用節(jié)點(diǎn)而不是僅比較文件名。最終驗收材料應(yīng)包括測試矩陣、結(jié)果、匹配規(guī)則、證書有效期、輪換負(fù)責(zé)人和回滾步驟。證書認(rèn)證的完成標(biāo)志不是“文件裝好了”而是錯誤身份確實(shí)進(jìn)不來正確身份在輪換和切換后仍能穩(wěn)定連接。證書分發(fā)也需要可追溯?？蛻舳怂借€只發(fā)給對應(yīng)運(yùn)行主體禁止多人共用同一份高權(quán)限證書自動化分發(fā)平臺應(yīng)記錄目標(biāo)、版本和時間不在普通日志輸出文件內(nèi)容。設(shè)備或主機(jī)下線時同步回收證書不要只刪除應(yīng)用目錄。對于用戶名映射建議保留一份可審閱的規(guī)則表證書身份、數(shù)據(jù)庫角色、業(yè)務(wù)系統(tǒng)、批準(zhǔn)人和有效期。每次增加映射都做沖突檢查防止一張證書通過多條寬泛規(guī)則落到不同角色。刪除映射后用原證書做拒絕測試確認(rèn)緩存或舊連接沒有留下入口。最后抽查審計記錄能否識別證書登錄對應(yīng)的數(shù)據(jù)庫用戶和來源。認(rèn)證負(fù)責(zé)阻止非法進(jìn)入審計負(fù)責(zé)證明誰曾進(jìn)入兩條鏈路需要在同一次演練中閉環(huán)。客戶端驗收要覆蓋實(shí)際驅(qū)動和連接池命令行成功不代表應(yīng)用使用的信任庫與主機(jī)名校驗也正確。參考資料KES 官方安全指南SSL 客戶端證書認(rèn)證