接続文字列とマネージド DB

接続文字列の形式

postgresql://ユーザー:パスワード@ホスト:5432/DB名
mysql://ユーザー:パスワード@ホスト:3306/DB名
sqlserver://ユーザー:パスワード@ホスト:1433/DB名

TLS と証明書

インターネットを通る接続は、必ず TLS で暗号化し、DB のサーバー証明書を検証します。DB で TLS を有効にし、公的な認証局が発行した証明書 (DB のホスト名と一致するもの) を使っている必要があります。

暗号化や検証を外す指定 (sslmode=disable、ssl-mode=DISABLED、encrypt=false、trustServerCertificate=true など) を含む接続文字列は、登録できません。証明書のファイルを指定するパラメータ (sslrootcert など) も使えないため、独自の認証局が発行した証明書は検証できません。

接続元の制限

Scandock は Cloudflare のネットワークから接続し、接続元の IP アドレスは決まっていません。DB が接続元を IP アドレスで絞っている場合や、インターネットに公開していない場合は、Cloudflare Tunnel を使ってください。

マネージド DB

直接つなげるかどうかは、そのサービスのサーバー証明書が公的な認証局のものかどうかで決まります。

• Neon・PlanetScale・TiDB Cloud・Azure SQL Database: 公的な認証局の証明書を使うため、接続文字列で直接つなげます。サービスの側で接続元の IP アドレスを絞っている場合は、その制限を外す必要があります。
• Amazon RDS・Aurora・Google Cloud SQL: サービス独自の認証局の証明書を使うため、直接はつなげません。VPC の中で cloudflared を動かし、Tunnel を使ってください (下の条件があります)。

RDS・Cloud SQL を Tunnel でつなぐときの条件

• 宛先はホスト名で指定できる: Tunnel の宛先には、DB のホスト名 (Amazon RDS・Aurora、Cloud SQL、Azure が割り当てるもの) をそのまま入れられます。cloudflared が VPC の中の DNS で名前を引くので、フェイルオーバーで DB の IP アドレスが変わっても、作り直す必要はありません。
• cloudflared から DB までは平文: Tunnel の区間は暗号化されますが、cloudflared から DB までは TLS を使いません。そのため、DB が TLS を必須にしているとつなげません。どの DB が初期設定のままつなげるかは、下の表のとおりです。

Tunnel 経由で、初期設定のままつなげるか

TLS を必須にするかどうかの初期設定は、サービスとバージョンによって違います。必須になっている DB は、設定で必須を外すとつなげます。

• つなげる: Amazon RDS for MySQL・MariaDB (require_secure_transport の初期値は OFF)、Aurora MySQL 3、RDS for SQL Server (rds.force_ssl の初期値は 0)、RDS for PostgreSQL 14 以前。
• 必須を外す設定が要る: RDS for PostgreSQL 15 以降 (パラメータグループで rds.force_ssl を 0 に)、Aurora MySQL 8.4 (require_secure_transport を OFF に)。
• Cloud SQL: 「SSL 接続のみ許可」を有効にしていなければ、つなげます。