首先在服务器上创建一个PKCS#1格式的密钥，若PKCS#8不行。然后创建一个可以用CA部署的CSR(Certificate Signing Request证书签名请求) 。最后结果是一个CA证书服务器和一个服务器的密钥。笔者习惯用PEM格式的证书
服务器配置：
SSL证书服务器和密钥(ssl-certandssl-key)
SSL CA 证书 (ssl-ca)
客户端配置:
SSL CA 证书(ssl-ca)
要求账户用SSL验证，那你的GRANT语句应该用REQUIRE SSL选项。
配置 2: Server/Client 的内部 CA 和 客户端证书
首先得在服务器上开启SSL，然后给客户端创建证书。
然后在客户端指定客户端证书和密钥 ssl-cert和ssl-key.
现在必须要用 REQUIRE X509来要求一个有效的证书。如果这个CA不只用在MySQL server上，那就不起作用了，因为其他人也有可能拿到有效的证书，
可以用 REQUIRE SUBJECT '/CN=myclient.example.com'来限制证书的使用。
在此设置证书是你的CA给颁发的，你颁发的证书你就能有很多可控的，结果就是你颁发的证书都是被信任的。
配置 3: Server/Client 与公共 CA
方案 3与方案 2相似。但公共的CA会指定多个的证书，同样也会吊销这些证书。
你应该了解 --ssl-verify-server-cert ，以确保服务器有一个带主机名的证书。否则，有人可能会用一个不带主机名的有效证书来发起中间人攻击（Man-in-the-MiddleAttack，简称“MITM攻击”）。
也应该使用 REQUIRE X509 字段，要求每个用户 SUBJECT 、ISSUER（可选）字段。
配置 4: Server/Client 和多个公共 CA's
这个方案用起来显得轻而易举。
可以使用证书包 （一个文件多个证书），并用 ssl ca 命令指定此文件。
在Ubuntu系统上，这个证书由/etc/ssl/certs/ca-certificates.crt 下的 ca-certificates 包提供
其他选项，用“指定assl-capath”来代替“使用ssl-ca”，这样就可以设置到/etc/ssl/certs里。如果想用CA的默认目录，那就得运行OpenSSL 中的c_rehash 程序来生成正确的符号连接（只在OpenSSL下可用）。
配置 5: Replication（复制）
设置 CHANGE MASTER TO 命令中MASTER_SSL_* 就可实现。
如果开启了主机名验证，就确保用了 MASTER_SSL_VERIFY_SERVER_CERT。
只有这样才能真正确保 replication 用户的SSL连接是要求的SSL连接。如果SSL允许了，SHOW SLAVE STATUS就会显示输出,而不是不可用。
每台服务器一个CA还是集中式CA?
可以每服务器用一个CA然后指定一个客户端证书，但是每个服务器的客户端都需要不同的证书来连接，也就是说你会发放很多CA证书。
所以你可能就会想要使用一个CA，而不是每个服务器一个CA。
出错了怎么办？
如果其中一个私有密钥（客户端，服务器或CA）损坏，有以下几种办法处理：
