概要
AWS BatchからRDSへアクセスしたら以下のエラーが返されました。
TLS/SSL error: self-signed certificate in certificate chain
前提
利用しているRDSは、検証環境かつVPC内部の通信のみです。
RDSのMySQLのバージョンは、MySQL 8.4.6。
AWS Batchで利用していたAMIは、amzn2-ami-ecs-hvm-2.0.20240802-x86_64-ebs。
AWS Batch側で指定しているのは、EC2 on ECSで、
Dockerイメージは、Python3.12、以下を実行してあります。
RUN apt-get update && apt-get install -y default-mysql-client && rm -rf /var/lib/apt/lists/*
原因
RDSのパラメータグループを確認すると、
require_secure_transportはengine-defaultになっていました（MySQLのデフォルトは OFF）。
なので、RDS側でSSLを強制しているわけではありません。
新しいバージョンのMySQLクライアントでは--ssl-mode=PREFERREDがデフォルトで、
サーバーがSSLをサポートしている場合はSSL接続を試みて、
RDSの証明書チェーンの検証に失敗する、ということがあるようですが、
同じようなバージョンと構成を他環境でも利用していたので、これが原因かどうかは不明...。
解決方法
ということで、原因はいまいちわかりませんが、エラーが解消された方法をシェアします。
コマンドを以下のように変更すれば、エラーはなくなり正常にバッチが実行されました。
BEFORE
mysql -h $RDS_HOST -P $RDS_PORT ...
AFTER
mysql --skip-ssl -h $RDS_HOST -P $RDS_PORT ...
検証環境であり、また、VPC内部での通信しかないため、上記で問題はないと思います。
参考
ちなみにMySQL公式クライアントでは5.7以降、--skip-sslは非推奨になっています。
Use --ssl-mode=DISABLED instead of --ssl=0, --skip-ssl, or --disable-ssl.
https://dev.mysql.com/doc/refman/5.7/en/connection-options.html
ただし、MariaDBクライアントでは --ssl-modeオプション自体が存在しないため、--skip-sslを使用するのが正しい方法とのこと。
Dockerイメージで実行していたのが、
どうやらMariaDBクライアントをインストールしていたらしく、
-
--ssl-mode=DISABLED→ 使えない -
--skip-ssl→ 使える
という状況になっていたようです。
そのため、--ssl-mode=DISABLEDで実行すると以下のエラーになりました。
mysql: unknown variable 'ssl-mode=DISABLED'