MySQL 8.4 Release Notes
20.6.3.2 分布式恢复中的Secure Socket Layer（SSL）连接
Important
在使用 MySQL 通信栈 (group_replication_communication_stack=MYSQL) 并且成员之间的安全连接 (group_replication_ssl_mode 不设置为 DISABLED) 时，这些安全设置将不仅应用于分布式恢复连接，还应用于成员之间的所有组通信。请参阅第20.6.1节，“连接安全管理中的通信栈”。
无论是使用标准SQL客户端连接还是分布式恢复终点来建立分布式恢复连接，以配置连接的安全性，您可以使用Group Replication的专门分布式恢复SSL选项。这些选项对应于用于组通信连接的服务器SSL选项，但它们仅在分布式恢复连接中生效。默认情况下，分布式恢复连接不使用SSL，即使您为组通信连接激活了SSL，并且服务器SSL选项也不应用于分布式恢复连接。您必须单独配置这些连接。
如果远程克隆操作作为分布式恢复的一部分使用，Group Replication 将自动配置克隆插件的SSL选项，以匹配分布式恢复SSL选项的设置。 (关于克隆插件如何使用SSL的详细信息，请见Configuring an Encrypted Connection for Cloning。)
分布式恢复SSL选项如下：
-
group_ replication_recovery_use_ssl：将其设置为ON以使Group Replication使用SSL进行分布式恢复连接，包括远程克隆操作和从捐赠者二进制日志中的状态转移。如果您连接的服务器没有使用默认配置（见Section 8.3.1, “Configuring MySQL to Use Encrypted Connections”），请使用其他分布式恢复SSL选项来确定要使用的证书和加密套件。 -
group_ replication_recovery_ssl_ca：分布式恢复连接使用的证书颁发机构（CA）文件路径名。Group Replication 将自动配置克隆SSL选项clone_ ssl_ca以匹配该设置。group_ replication_recovery_ssl_capath: 该目录包含了可信任的SSL证书颁发机构(CA)证书文件的路径名。 -
group_replication_recovery_ssl_cert: 分布式恢复连接使用的SSL公钥证书文件路径名。Group Replication 自动配置克隆SSL选项clone_ssl_cert以匹配该值。 -
group_replication_recovery_ssl_key: 分布式恢复连接使用的SSL私钥文件路径名。Group Replication 自动配置克隆SSL选项clone_ssl_cert以匹配该值。 -
group_replication_recovery_ssl_verify_server_cert: 使分布式恢复连接检查捐赠服务器发送的证书中的Common Name值。将该选项设置为ON等同于在分组通信连接中将group_replication_ssl_mode选项设置为VERIFY_IDENTITY。 -
group_replication_恢复ssl_crl: 证书撤销列表文件的路径名。 -
group_replication_恢复ssl_crlpath: 证书撤销列表文件目录的路径名。 -
group_replication_恢复ssl_cipher: 分布式恢复连接的加密连接许可cipher列表。指定一个或多个cipher名称，使用冒号分隔。关于MySQL支持的加密cipher列表，请参见第8.3.2节，“加密连接TLS协议和cipher”。 -
group_replication_恢复tls_version: 分布式恢复连接的TLS协议版本列表，用于在本服务器实例作为客户端（加入成员）时进行加密连接。该系统变量的默认值取决于MySQL Server release支持的TLS协议版本。在每个分布式恢复连接中，客户端（加入成员）和服务器（捐赠者）之间会协商它们都支持的最高协议版本。 -
group_ replication_ recovery_ TLS加密套件: 使用TLSv1.3对分布式恢复连接进行加密时，分隔符列表中的一个或多个允许的加密套件，当该服务器实例是分布式恢复连接中的客户端，即加入成员。如果在使用TLSv1.3时将该系统变量设置为NULL(默认情况下，如果不设置该系统变量），则启用了默认允许的加密套件，详见第8.3.2节，“加密连接_TLS协议和加密套件”。如果将该系统变量设置为空字符串，则不允许任何加密套件，并因此TLSv1.3不可用。