PHPでAzureのMySQLにSSL接続する方法

Question

前提・実現したいこと

Azure App Serviceに配置したPHPから、Azure Database for MySQLにアクセスするサーバアプリを作成しています。
PHP、Azure共に初心者です。

発生している問題・エラーメッセージ

SSL接続を求められたので、下記サイトを確認して進めていました。
Azure Database for MySQL に安全に接続するためにアプリケーションで SSL 接続を構成する
What's the difference between MYSQLI_CLIENT_SSL and MYSQLI_OPT_SSL_VERIFY_SERVER_CERT?

以下のエラーが表示され、回避策がわかりません。

• MYSQLI_OPT_SSL_VERIFY_SERVER_CERTのオプション設定を実装していると、ここでエラーになります。
• また、上記のオプション設定の実装を外すと、MySQL接続時にエラーになります。

該当のソースコード

    // 初期化処理
    $mysqli = mysqli_init();
    if (!$mysqli) {
        die("mysqli_init failed");
    }

    // オプション設定
    if (!$mysqli->options(MYSQLI_OPT_CONNECT_TIMEOUT, 5)) {
        die('Setting MYSQLI_OPT_CONNECT_TIMEOUT failed');
    }
    if (!$mysqli->options(MYSQLI_OPT_SSL_VERIFY_SERVER_CERT, true)) {
        // ★このエラーが表示される
        die('Setting MYSQLI_OPT_SSL_VERIFY_SERVER_CERT failed');
    }

    // SSL設定
    $mysqli->ssl_set(NULL, NULL, "/var/www/html/BaltimoreCyberTrustRoot.crt.pem", NULL, NULL);

    // MySQLへ接続する
    $mysqli->real_connect($url, $user, $pass, $db, 3306, NULL, MYSQLI_CLIENT_SSL);
    if ($mysqli->connect_errno) {
        // ★MYSQLI_OPT_SSL_VERIFY_SERVER_CERTのオプション設定を外すとこのエラーが表示される
        die("real_connect failed: " . $mysqli->connect_error);
    }

試したこと

• BaltimoreCyberTrustRoot.crt.pemをダウンロードして、MySQL Workbenchからバインド
• real_connectのエラーメッセージ、エラー番号は空でした
• 動作確認は下記サイトで行っており、MySQL関連の処理までは正しく動いていることは確認済です

POSTメソッドのテスト

補足情報（FW/ツールのバージョンなど）

PHP 7.3
MySQL 8.0

/var/www/html/BaltimoreCyberTrustRoot.crt.pem
上記パスについてもよくわかっておらず、どこかにファイルを格納する必要があるのでしょうか？

セキュリティに関してあまり詳しくないですが、
SSL設定をOFFにするのはセキュリティ上よろしくないと思うので、それは極力避けたいと思っています。
なにか情報をお持ちの方がいましたら、ご回答よろしくお願いします。

---

編集途中で投稿していたようなので、情報を追記しました。

【追記　2019/09/20】
Azure DatabaseのConnection Securityを確認しました。

• Allow access to Azure services → OFF
• ルール → Start IP Address(0.0.0.0)、End IP Address(255.255.255.255)

※ローカルのMySQL Workbenchから参照できるようにするために設定しています。

• Enforce SSL connection → Enabled

Comments

[FiroProchainezo]

Connection Securityは設定しましたか？(MariaDBの方の設定なのでないかもしれません)

[takapi_cs]

追記しました。
ローカルPCのMySQLからアクセスできるように、Start IPに0.0.0.0、End IPに255.255.255.255を設定しました。

[FiroProchainezo]

ダウンロードした[BaltimoreCyberTrustRoot.crt.pem]を[/var/www/html/]に置いて、それを参照しているってだけなので、そこに置く必要がありますね。
(アクセス権も必要)

AppServiceもコンソールが使えるはずなので、コンソールから置いた場所のパスを確認してはいかがですか？

[takapi_cs]

App Serviceでコンソールが使えることを知りませんでした。
教えていただいたおかげで解決できました。
ありがとうございました。

Answer 1

App Service(Linux)のコンソールから/var/www/html/のパスを探しました。
ドライブ直下にvarフォルダがありました。

---

/var/www/html/フォルダ直下にpemファイルを格納した場合は、権限の関係なのか上手くいきませんでしたが、
PHPソースが格納されていたwwwrootフォルダ直下にpemファイルを格納し、
PHPのパス記述箇所を/var/www/html/wwwroot/BaltimoreCyberTrustRoot.crt.pemとしたところ、MySQL接続のエラーを回避できました。

---

また、PHPに実装していた下記処理は外して実行しました。

if (!$mysqli->options(MYSQLI_OPT_SSL_VERIFY_SERVER_CERT, true)) {
    die('Setting MYSQLI_OPT_SSL_VERIFY_SERVER_CERT failed');
}