操作场景
SSL（Secure Sockets Layer ）认证用于在客户端与云数据库服务端之间建立安全连接。开通 SSL 加密后，服务端将启用安全证书，用户可以获取（下载）相应的 CA 证书并配置在客户端。客户端连接数据库时将激活安全协议，在客户端与数据库服务端之间建立一条加密通道，实现数据在传输过程中的加密，有效防止数据被截取、篡改或窃听，保障数据传输的安全性。
说明：
存储引擎 Memcached 版不支持 SSL 加密。
计费说明
开启 SSL 加密不收取任何费用，您可免费使用。
使用前须知
开启 SSL 加密可保障数据访问及传输的安全，但可能会略微影响实例性能。建议仅在有加密需求时开通 SSL 加密。
开启 SSL 加密后，无法支持免密访问。
开启 SSL 加密功能后再关闭，加密连接的客户端程序将无法正常连接，请提前调整业务配置。
开启 SSL 加密时，证书默认仅绑定所选的连接地址，使用其他地址连接将报错。
SSL 证书有效期为20年，目前不支持证书失效场景的处理。
版本架构说明
SSL 加密对实例的兼容版本与代理版本有要求，具体如下。
新建实例：兼容版本4.0及以上均支持直接开通 SSL 加密。
存量实例：
兼容版本为2.8时，需先升级兼容版本至4.0或以上，才能开通 SSL 加密。具体操作，请参见 版本升级。
兼容版本为4.0及以上时，需升级代理版本至5.6.0才能支持。具体操作，请参见 代理升级。
标准架构与集群架构均支持 SSL 加密。
证书绑定地址说明
开启 SSL 加密时，需选择一个连接地址作为证书绑定地址。证书签发时会将该地址写入证书的服务端地址字段（SAN），客户端发起 SSL 连接时，会校验实际连接地址与证书绑定地址是否一致。两者不一致时，TLS 握手将校验失败，连接被拒绝。请选择客户端实际使用的连接地址作为证书绑定地址。
连接地址类型 | 展示条件 | 说明 |
内网地址（推荐） | 始终展示 | 实例的默认连接地址，优先展示并默认选中。 |
外网地址 | 实例已开通外网访问时展示 | 适用于通过外网接入的客户端。如需通过外网进行 SSL 加密连接，请选择外网地址。 |
不绑定地址 | 仅白名单业务开放 | 证书不绑定特定地址，可使用任意地址进行 SSL 连接，用于兼容存量实例场景。 |
前提条件
实例状态为运行中，且无其他任务正在执行。
当前为业务低峰时段，或客户端已具备自动重连机制。
操作步骤
步骤1：开启 SSL 加密并选择连接地址
1. 登录 腾讯云分布式缓存数据库控制台。
2. 在实例列表上方，选择地域。
3. 在实例列表中，单击目标实例的实例 ID，进入实例详情页面。
4. 选择 SSL 加密页签，若页面提示需升级版本，请单击版本升级，等待版本升级成功。
5. 在 SSL 加密状态右侧，单击
6. 在证书绑定地址的下拉列表中，选择证书绑定的加密连接地址。
7. 单击确定，SSL 加密状态显示为 SSL 状态更新中。等待状态显示为已开通，即完成 SSL 加密开通。如下图所示。证书绑定地址：显示证书当前绑定的加密连接地址，与开通时所选地址一致，单击复制可复制该地址。
步骤2：查看状态并下载证书
1. 在 SSL 加密设置区域，单击下载 CA 证书，获取 CA 证书。
2. 将证书放置在服务端，使用 SSL 加密方式访问数据库。客户端连接示例，请参见 Java 连接示例 与 Python 连接示例。
步骤4：变更加密连接地址
步骤5：关闭 SSL 加密
1. 在 SSL 加密页签，单击 SSL 加密状态右侧的
2. 确认提示信息后，单击确定即可。
说明：
关闭后，原已绑定的加密连接地址信息将失效，加密连接的客户端程序将无法正常连接。关闭后再次开启 SSL 加密时，可重新选择加密连接地址。
更换网络与更换访问地址的影响
实例的 SSL 证书绑定了具体的加密连接地址，更换网络或更换访问地址（VIP）可能导致原绑定地址失效。请在执行以下操作前确认 SSL 加密的影响。
更换网络：将实例切换至其他私有网络或子网后，原内网地址将变更。若 SSL 证书绑定的是受影响的内网地址，更换完成后原证书绑定地址将失效，使用 SSL 加密连接的客户端将无法连接。请在更换网络完成后，关闭并重新开启 SSL 加密，重新选择加密连接地址。更换网络的操作，请参见 更换网络。
更换访问地址（VIP）：手动更换实例的 VIP 后，原绑定地址同样失效，需重新开启 SSL 加密并重新选择加密连接地址。
注意：
更换网络或更换访问地址前，若实例已开启 SSL 加密且当前绑定地址受影响，请提前评估对业务的影响，并在变更完成后重新签发证书，否则使用 SSL 加密连接的客户端将无法正常连接。
相关 API
常见问题
开启 SSL 加密后客户端无法连接，如何处理？
请确认客户端实际使用的连接地址与证书绑定的加密连接地址一致。在 SSL 加密页签的证书绑定地址处可查看当前证书绑定的加密连接地址。若两者不一致，请关闭 SSL 加密后重新开启，并选择与客户端一致的连接地址。
如何变更证书绑定的加密连接地址？
证书绑定地址不支持直接修改。请先关闭 SSL 加密，再重新开启并在下拉列表中选择新的加密连接地址。
更换网络后 SSL 加密连接失败，如何恢复？
更换网络会导致原内网地址变更，原证书绑定地址随之失效。请在更换网络完成后，关闭并重新开启 SSL 加密，选择更换后的连接地址重新签发证书。
相关文档
更换网络
版本升级
代理升级
