TiDB 生产集群与加密通讯 TLS 的辛酸苦辣 - 工具篇
作者： caiyfc 原文来源：https://tidb.net/blog/19a30e17
前言
之前笔者因为项目中的漏洞扫描，开启了集群的 TLS 加密，并输出了一篇文章：TiDB 生产集群与加密通讯 TLS 的辛酸苦辣 - 开启篇。文章中详细的讲解了要如何开启 TLS 加密，以及需要注意的点。
开启 TLS 之后，笔者发现现有的某些工具无法使用了，比如 BR 全量备份的脚本、pd-ctl 工具等等。这是怎么回事呢？那是因为开启了 TLS 之后，PD 节点的访问方式就已经发生了改变。以前访问 PD 节点，只需要用 http 的方式指定 ip 和端口就可以直接访问，现在却需要使用 https 的方式，除了指定 ip 和端口，还需要指定 CA 证书等文件。那么问题来了，在各种工具中，我们需要怎么设置才能正常使用呢，接下来笔者会列举一些工具的配置方法。
一、Dashboard
首先介绍我们最常用的工具 –dashboard。开启了 TLS 之后，dashboard 就只能用 http 的方式访问，而且需要先安装证书，才能正常访问。
1、获取证书
使用 tiup 获取证书存放地址：
tiup cluster display tidb-test
跟进上图中的路径：/root/.tiup/storage/cluster/clusters/tidb-test/tls/
下载证书文件：client.pfx
2、安装证书
打开浏览器的“证书管理”
选择导入，并选中 client.pfx 文件
密码为tiup
无脑下一步就可以安装完成了。
3、使用证书访问 dashboard
直接跟使用 https 访问 dashboard 地址，浏览器会自动提示是否使用证书验证，点击证书后，再点击确定即可（如果访问出现问题或没有证书弹框，可重启一下浏览器）。
二、TiDB Lightning
在使用 Lightning 的时候，有两种情况，一种是直接使用 tidb 模式，这种模式使用的是逻辑导入，直接连接 tidb 节点进行导入的，所以不需要连接到 PD 节点，也就不需要使用到 CA 证书；另一种是使用 local 模式，这个模式下，lightning 需要通过 PD 节点来找到 tikv 的位置，所以只有在 local 模式下，我们需要更改 lightning 的配置文件。如果直接使用 local 模式，会有如下报错：
配置文件的更改方式如下：
官网给出的 lightning 配置文件为：TiDB Lightning 教程
在此基础上，我们需要增加（security 与tidb.security保持一致）：
完整配置如图：
修改配置之后，正常运行 lightning 即可：
tiup tidb-lightning -config tidb-lightning.toml
三、BR 备份
我们使用 BR 做全量备份的时候，如果不指定 CA 证书，也会遇到报错：
这个时候，我们可以根据 BR 工具的详细信息来获得帮助：tiup br --help
所以，我们在命令行中加入对应的三个参数信息（ca，cert，key）即可：
四、PD CTL
我们在现场经常会遇到需要查看 store 信息的情况，所以需要用到 PD ctl 工具了。由于开启了 TLS，所以也需要增加相应的 CA 证书文件才行。我根据 TiDB Lightning 的命令行文件，直接复制 CA 文件部分，ctl 竟然报错了：
根据图上显示的内容，我们可以发现，ctl 的 CA 证书使用的参数名是 cacert ，而不是用的 ca 。更改之后，正确的命令如下：
这里还需要注意一点，连接 PD 节点的地址为 https，而不是 http 了。
五、总结
本文主要介绍了开启 TLS 之后的 TiDB 集群中，一些常用的工具应该如何去使用。主要记住几点：
由于开启了 TLS ，所以 http 变为 https，在有配置 PD 节点访问方式的时候，要注意判断是否需要修改
只要从 PD 节点获取信息，那么这个工具肯定是需要指定 CA 证书的。
关于配置 CA 证书的参数名，可以根据对应命令的详细信息来查看，命令加
--help即可如果需要通过配置文件来指定 CA 文件，那么就需要到官网查看该工具的完整配置文件说明，找到 CA 证书部分，按说明填写即可。
版权声明: 本文为 InfoQ 作者【TiDB 社区干货传送门】的原创文章。
原文链接:【http://xie.infoq.cn/article/5e983e3bd9b7d849474ec3e53】。文章转载请联系作者。
TiDB 社区官网:https://tidb.net/ 2021-12-15 加入
TiDB 社区干货传送门是由 TiDB 社区中布道师组委会自发组织的 TiDB 社区优质内容对外宣布的栏目，旨在加深 TiDBer 之间的交流和学习。一起构建有爱、互助、共创共建的 TiDB 社区 https://tidb.net/
评论