若要要求用戶端使用加密連線連線，請啟用 require_secure_transport 系統變數。請參閱設定強制加密連線。

伺服器端的這些系統變數會指定伺服器在允許用戶端建立加密連線時所使用的憑證和金鑰檔案

例如，若要啟用伺服器進行加密連線，請在 my.cnf 檔案中以這些行啟動伺服器，並視需要變更檔案名稱

[mysqld]
ssl_ca=ca.pem
ssl_cert=server-cert.pem
ssl_key=server-key.pem

若要額外指定用戶端必須使用加密連線，請啟用 require_secure_transport 系統變數。

[mysqld]
ssl_ca=ca.pem
ssl_cert=server-cert.pem
ssl_key=server-key.pem
require_secure_transport=ON

每個憑證和金鑰系統變數都會指定一個 PEM 格式的檔案。如果您需要建立所需的憑證和金鑰檔案，請參閱第 8.3.3 節「建立 SSL 和 RSA 憑證與金鑰」。使用 OpenSSL 編譯的 MySQL 伺服器可以在啟動時自動產生遺失的憑證和金鑰檔案。請參閱第 8.3.3.1 節「使用 MySQL 建立 SSL 和 RSA 憑證與金鑰」。或者，如果您有 MySQL 原始碼發行版，您可以使用其 mysql-test/std_data 目錄中的示範憑證和金鑰檔案來測試您的設定。

伺服器會執行憑證和金鑰檔案的自動探索。如果沒有提供明確的加密連線選項來設定加密連線，伺服器會在啟動時嘗試自動啟用加密連線支援。

如果伺服器自動啟用加密連線支援，它會在錯誤日誌中寫入一個註解。如果伺服器發現 CA 憑證是自我簽署的，它會在錯誤日誌中寫入一個警告。（如果憑證是由伺服器自動建立的，則該憑證是自我簽署的。）

MySQL 還提供了這些系統變數來控制伺服器端的加密連線：

如果伺服器無法從伺服器端加密連線控制的系統變數建立有效的 TLS 環境，伺服器將在不支援加密連線的情況下執行。

tls_xxx 和 ssl_xxx 系統變數是動態的，可以在執行階段設定，而不僅僅是在啟動時設定。如果使用 SET GLOBAL 變更，則新值僅適用於伺服器重新啟動之前。如果使用 SET PERSIST 變更，則新值也會帶到後續的伺服器重新啟動。請參閱第 15.7.6.1 節「設定變數的 SET 語法」。但是，對這些變數的執行階段變更不會立即影響新連線的 TLS 環境，如下一節所述。

隨著啟用對 TLS 環境相關系統變數進行執行階段變更的變更，伺服器也啟用了對新連線所用實際 TLS 環境的執行階段更新。此功能可能很有用，例如，避免重新啟動執行時間過長，其 SSL 憑證已過期的 MySQL 伺服器。

為了建立初始 TLS 環境，伺服器會使用啟動時環境相關系統變數的值。為了公開環境值，伺服器還會初始化一組對應的狀態變數。下表顯示定義 TLS 環境的系統變數以及公開目前作用中環境值的對應狀態變數。

這些作用中的 TLS 環境值也會以屬性的形式公開在 Performance Schema tls_channel_status 表格中，以及任何其他作用中 TLS 環境的屬性。

若要在執行階段重新設定 TLS 環境，請使用此程序：

由於重新設定程序的工作方式，每一對系統和狀態變數的成員可能會暫時具有不同的值。

在某些情況下，ALTER INSTANCE RELOAD TLS 本身可能足以重新設定 TLS 環境，而無需變更任何系統變數。假設由 ssl_cert 指定的檔案中的憑證已過期。只需將現有檔案內容替換為未過期的憑證並執行 ALTER INSTANCE RELOAD TLS，即可導致讀取新的檔案內容並用於新連線。

伺服器會針對管理連線介面實作獨立的連線加密設定。請參閱管理介面支援加密連線。此外，ALTER INSTANCE RELOAD TLS 會擴充 FOR CHANNEL 子句，以指定要重新載入 TLS 環境的通道（介面）。請參閱第 15.1.5 節「ALTER INSTANCE 陳述式」。沒有任何狀態變數可以公開管理介面 TLS 環境，但是 Performance Schema tls_channel_status 表格會公開主介面和管理介面的 TLS 屬性。請參閱第 29.12.22.9 節「tls_channel_status 表格」。

更新主介面 TLS 環境具有以下效果：

預設情況下，如果組態值不允許建立新的 TLS 環境，則 RELOAD TLS 動作會以錯誤回復，並且沒有任何影響。先前的環境值將繼續用於新連線。如果給定選擇性的 NO ROLLBACK ON ERROR 子句，且無法建立新的環境，則不會發生回復。相反地，會產生警告，並且將針對陳述式所套用的介面上新連線停用加密。

如需與建立加密連線相關的用戶端選項的完整列表，請參閱加密連線的命令選項。

預設情況下，如果伺服器支援加密連線，MySQL 用戶端程式會嘗試建立加密連線，並可透過 --ssl-mode 選項進行進一步控制。

如果伺服器端啟用 require_secure_transport 系統變數，導致伺服器要求加密連線，則嘗試建立未加密連線會失敗。請參閱將加密連線設定為必要。

客戶端在建立與伺服器的加密連線時，可以使用以下選項來識別憑證和金鑰檔案。它們與伺服器端使用的 ssl_ca、ssl_cert 和 ssl_key 系統變數類似，但 --ssl-cert 和 --ssl-key 識別的是客戶端的公開和私密金鑰。

為了提高相對於預設加密所提供的安全性，客戶端可以提供與伺服器使用的相符 CA 憑證，並啟用主機名稱身分驗證。如此一來，伺服器和客戶端就會信任相同的 CA 憑證，而客戶端會驗證其連線的主機是否為預期的主機。

MySQL 也為客戶端加密連線控制提供這些選項

根據客戶端所使用的 MySQL 帳戶的加密要求，客戶端可能需要指定某些選項才能使用加密連線到 MySQL 伺服器。

假設您想要使用沒有特殊加密要求的帳戶，或是使用包含 REQUIRE SSL 子句的 CREATE USER 陳述式所建立的帳戶進行連線。假設伺服器支援加密連線，則客戶端可以使用加密連線，而無需 --ssl-mode 選項，或使用明確的 --ssl-mode=PREFERRED 選項

mysql

或

mysql --ssl-mode=PREFERRED

對於使用 REQUIRE SSL 子句建立的帳戶，如果無法建立加密連線，連線嘗試會失敗。對於沒有特殊加密要求的帳戶，如果無法建立加密連線，則嘗試會退回使用未加密的連線。若要防止退回，且如果無法取得加密連線則失敗，請像這樣連線

mysql --ssl-mode=REQUIRED

如果帳戶有更嚴格的安全性要求，則必須指定其他選項才能建立加密連線。

如需關於 REQUIRE 子句的其他資訊，請參閱第 15.7.1.3 節，「CREATE USER 陳述式」。

MySQL 伺服器可以產生客戶端憑證和金鑰檔案，供客戶端用來連線到 MySQL 伺服器執行個體。請參閱第 8.3.3 節，「建立 SSL 和 RSA 憑證與金鑰」。

若要防止使用加密並覆寫其他 --ssl-xxx 選項，請使用 --ssl-mode=DISABLED 叫用客戶端程式。

mysql --ssl-mode=DISABLED

若要判斷目前與伺服器的連線是否使用加密，請檢查 Ssl_cipher 狀態變數的會期值。如果該值為空，則連線未加密。否則，連線已加密，而該值會指示加密密碼。例如

mysql> SHOW SESSION STATUS LIKE 'Ssl_cipher';
+---------------+---------------------------+
| Variable_name | Value                     |
+---------------+---------------------------+
| Ssl_cipher    | DHE-RSA-AES128-GCM-SHA256 |
+---------------+---------------------------+

對於 mysql 客戶端，另一種方法是使用 STATUS 或 \s 命令，並檢查 SSL 行。

mysql> \s
...
SSL: Not in use
...

或

mysql> \s
...
SSL: Cipher in use is DHE-RSA-AES128-GCM-SHA256
...

--tls-certificates-enforced-validation 選項可讓伺服器在啟動時驗證伺服器公開金鑰憑證檔案、憑證授權單位 (CA) 憑證檔案和憑證撤銷列表檔案。

mysqld --tls-certificates-enforced-validation

如果設定為 ON，則如果憑證無效，伺服器會停止執行啟動。伺服器會根據憑證的狀態，提供有效的偵錯訊息、錯誤訊息或兩者，以通知 DBA。這項功能可能很有用，例如，可以避免重新啟動已執行很長時間以致 SSL 憑證過期的 MySQL 伺服器。

同樣地，當您執行 ALTER INSTANCE RELOAD TLS 陳述式以在執行階段變更 TLS 內容時，如果驗證失敗，則不會使用新的伺服器和 CA 憑證檔案。在這種情況下，伺服器會繼續使用舊憑證。如需關於動態變更 TLS 內容的詳細資訊，請參閱伺服器端加密連線的執行階段組態和監控。

驗證 CA 憑證

對於使用伺服器主要介面的連線

對於使用伺服器管理介面的連線：

驗證伺服器憑證

對於使用伺服器主要介面的連線

對於使用伺服器管理介面的連線：

對於某些 MySQL 部署而言，使用加密連線可能不僅是期望的，而且是強制性的（例如，為了滿足法規要求）。本節討論讓您能夠執行此操作的組態設定。可用的控制層級如下：

若要要求用戶端使用加密連線連線，請啟用 require_secure_transport 系統變數。例如，將這些行放入伺服器的 my.cnf 檔案中：

[mysqld]
require_secure_transport=ON

或者，若要在執行階段設定並持續保存值，請使用此陳述式：

SET PERSIST require_secure_transport=ON;

SET PERSIST 會設定執行中 MySQL 執行個體的值。它也會儲存該值，使其在後續伺服器重新啟動時使用。請參閱 第 15.7.6.1 節，「SET 變數指派語法」。

啟用 require_secure_transport 後，用戶端與伺服器的連線必須使用某種形式的安全傳輸，且伺服器僅允許使用 SSL 的 TCP/IP 連線，或使用 Socket 檔案（在 Unix 上）或共用記憶體（在 Windows 上）的連線。伺服器會拒絕不安全的連線嘗試，並會產生 ER_SECURE_TRANSPORT_REQUIRED 錯誤。

若要叫用用戶端程式，使其在不論伺服器是否要求加密的情況下，都要求加密連線，請使用 --ssl-mode 選項值 REQUIRED、VERIFY_CA 或 VERIFY_IDENTITY。例如：

mysql --ssl-mode=REQUIRED
mysqldump --ssl-mode=VERIFY_CA
mysqladmin --ssl-mode=VERIFY_IDENTITY

若要設定 MySQL 帳戶使其只能透過加密連線使用，請在建立帳戶的 CREATE USER 陳述式中加入 REQUIRE 子句，並在該子句中指定您要求的加密特性。例如，若要要求加密連線以及使用有效的 X.509 憑證，請使用 REQUIRE X509：

CREATE USER 'jeffrey'@'localhost' REQUIRE X509;

如需關於 REQUIRE 子句的其他資訊，請參閱第 15.7.1.3 節，「CREATE USER 陳述式」。

若要修改沒有加密需求的現有帳戶，請使用 ALTER USER 陳述式。