Validação de certificado do servidor TLS

Os pipelines do conector de banco de dados Lakeflow Connect criptografam todos os dados em trânsito com TLS. Começando com pipelines recém-criados, o Lakeflow Connect também valida o certificado TLS do servidor de banco de dados de origem. Essa validação de certificado verifica se o pipeline está se conectando ao servidor pretendido, não a um intermediário, e impede ataques man-in-the-middle (MITM).

Esta página se aplica aos conectores MySQL, PostgreSQL e SQL Server Lakeflow Connect.

Como funciona a validação de certificado

Quando um novo pipeline se conecta a um banco de dados de origem, o Lakeflow Connect verifica o certificado TLS do servidor contra um certificado de CA confiável. O pipeline falha ao conectar-se caso o certificado não seja verificado.

As alterações de validação de certificado não afetam os pipelines existentes. Os pipelines recém-criados têm a validação de certificado habilitada por padrão.

O comportamento de validação padrão difere por conector:

Fornecer um certificado de CA

Se o seu servidor de banco de dados usar um certificado de uma CA privada ou interna—ou se você estiver usando o MySQL—adicione o seu certificado de CA à conexão do Catálogo do Unity que o pipeline usa.

Criar ou atualizar uma conexão com um certificado CA

Interface do usuário do Databricks

Para adicionar um certificado de autoridade de certificação ao criar uma nova conexão:

1. No workspace Azure Databricks, clique em Catalog.
2. Clique em Criar e selecione Criar conexão.
3. Insira um nome de conexão e selecione o tipo de conexão do banco de dados.
4. Clique em Próximo.
5. Na página Autenticação , insira as credenciais de host, porta e logon.
6. No campo de certificado SSL, cole o conteúdo do arquivo de certificado de autoridade certificadora (formato PEM).
7. Clique em Criar conexão.

Para atualizar uma conexão existente para adicionar um certificado de autoridade de certificação:

1. No workspace Azure Databricks, clique em Catalog.
2. No Gerenciador de Catálogos, vá para a conexão.
3. Clique em Editar.
4. No campo certificado SSL, cole o conteúdo do arquivo de certificado da autoridade de certificação (formato PEM).
5. Salve suas alterações.

CLI do Databricks

Inclua o certificado CA no objeto options ao criar uma conexão. Os exemplos a seguir mostram a opção de certificado de autoridade de certificação (CA) para cada conector.

Mysql:

databricks connections create --json '{
  "name": "my_mysql_connection",
  "connection_type": "MYSQL",
  "options": {
    "host": "<host>",
    "port": "3306",
    "user": "<username>",
    "password": "<password>",
    "ssl_ca": "<CA certificate content in PEM format>"
  }
}'

Postgresql:

databricks connections create --json '{
  "name": "my_postgresql_connection",
  "connection_type": "POSTGRESQL",
  "options": {
    "host": "<host>",
    "port": "5432",
    "database": "<database>",
    "user": "<username>",
    "password": "<password>",
    "ssl_ca": "<CA certificate content in PEM format>"
  }
}'

SQL Server:

databricks connections create --json '{
  "name": "my_sqlserver_connection",
  "connection_type": "SQLSERVER",
  "options": {
    "host": "<host>",
    "port": "1433",
    "user": "<username>",
    "password": "<password>",
    "ssl_ca": "<CA certificate content in PEM format>"
  }
}'

Recusar a validação do certificado (não recomendado)

Se o ambiente não der suporte à validação de certificado, você poderá configurar a conexão para confiar no certificado do servidor sem verificá-lo em uma AC. Defina trustServerCertificate como true nas opções de conexão.

Interface do usuário do Databricks

Ao criar ou editar uma conexão no Gerenciador de Catálogos, selecione o certificado do servidor de confiança para ignorar a validação do certificado.

CLI do Databricks

databricks connections create --json '{
  "name": "my_connection",
  "connection_type": "POSTGRESQL",
  "options": {
    "host": "<host>",
    "port": "5432",
    "database": "<database>",
    "user": "<username>",
    "password": "<password>",
    "trustServerCertificate": "true"
  }
}'

Espaços de trabalho HIPAA e FedRAMP

Em workspaces com configurações de conformidade HIPAA ou FedRAMP, o Lakeflow Connect impõe o TLS versão 1.2 ou 1.3 para todas as conexões do conector de banco de dados. Esse requisito não pode ser desativado.

Solucionar problemas de erros de certificado TLS

Se um pipeline falhar devido a um erro de certificado TLS, verifique o log de eventos do pipeline do gateway de ingestão. O log de eventos registra erros de conexão, incluindo falhas de validação de certificado, com detalhes para ajudá-lo a diagnosticar o problema.

Causas e resoluções comuns:

Para obter mais solução de problemas específica do conector, consulte:

• Solucionar problemas de ingestão do MySQL
• Solucionar problemas de ingestão do PostgreSQL
• Solucionar problemas de ingestão do SQL Server