Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Ihr SSL TLS /-Zertifikat rotieren
Die Amazon RDS Certificate Authority rds-ca-2019 laufen voraussichtlich im August 2024 ab. Wenn Sie Secure Sockets Layer (SSL) oder Transport Layer Security (TLS) mit Zertifikatsüberprüfung verwenden oder dies planen, um eine Verbindung zu Ihren RDS DB-Instances herzustellen, sollten Sie die Verwendung eines der neuen CA-Zertifikate rds-ca-rsa 2048-g1, 4096-g1 oder 384-g1 in Betracht ziehen. rds-ca-rsa rds-ca-ecc Wenn Sie derzeitSSL/nicht TLS mit der Zertifikatsüberprüfung verwenden, haben Sie möglicherweise immer noch ein abgelaufenes CA-Zertifikat und müssen es auf ein neues CA-Zertifikat aktualisieren, wenn SieSSL/TLSmit Zertifikatsverifizierung verwenden möchten, um eine Verbindung zu Ihren Datenbanken herzustellen. RDS
Amazon RDS stellt neue CA-Zertifikate als bewährte AWS Sicherheitsmethode zur Verfügung. Informationen zu den neuen Zertifikaten und den unterstützten AWS Regionen finden Sie unterVerwenden vonSSL/TLSzum Verschlüsseln einer Verbindung zu einer .
Verwenden Sie die folgenden Methoden, um das CA-Zertifikat für Ihre Datenbank zu aktualisieren:
Bevor Sie Ihre DB-Instances für die Verwendung des neuen CA-Zertifikats aktualisieren, stellen Sie sicher, dass Sie Ihre Clients oder Anwendungen aktualisieren, die eine Verbindung zu Ihren RDS Datenbanken herstellen.
Überlegungen zur Rotation von Zertifikaten
Beachten Sie die folgenden Situationen, bevor Sie Ihr Zertifikat rotieren:
Amazon RDS Proxy and Aurora Serverless v1 use Zertifikate von AWS Certificate Manager (ACM). Wenn Sie RDS Proxy verwenden, müssen Sie bei der Rotation Ihres SSL TLS /-Zertifikats keine Anwendungen aktualisieren, die RDS Proxy-Verbindungen verwenden. Weitere Informationen finden Sie unter TLS/SSLmit RDS Proxy verwenden.
-
Wenn Sie verwendenAurora Serverless v1, ist das Herunterladen von RDS Amazon-Zertifikaten nicht erforderlich. Weitere Informationen finden Sie unter Verwenden vonTLS/SSLmit Aurora Serverless v1.
Wenn Sie eine Go-Anwendung der Version 1.15 mit einer DB-Instance verwenden, das vor dem 28. Juli 2020 erstellt oder auf das rds-ca-2019-Zertifikat aktualisiert wurde, müssen Sie das Zertifikat erneut aktualisieren.
Verwenden Sie den
modify-db-instance
Befehl . Mithilfe desdescribe-db-engine-versions
Befehls können Sie herausfindenCAs, welche für eine bestimmte DB-Engine und DB-Engine-Version verfügbar sind.Wenn Sie Ihre Datenbank nach dem 28. Juli 2020 erstellt oder ihr Zertifikat aktualisiert haben, sind keine Maßnahmen erforderlich. Weitere Informationen finden Sie in GitHub Go-Ausgabe #39568
.
Aktualisierung Ihres CA-Zertifikats durch Änderung Ihrer DB-Instance
Im folgenden Beispiel wird Ihr CA-Zertifikat von rds-ca-2019 auf 2048-g1 aktualisiert. rds-ca-rsa Sie können ein anderes Zertifikat wählen. Weitere Informationen finden Sie unter Zertifizierungsstellen.
Aktualisieren Sie Ihren Application Trust Store, um Ausfallzeiten im Zusammenhang mit der Aktualisierung Ihres CA-Zertifikats zu reduzieren. Weitere Informationen zu Neustarts im Zusammenhang mit der Rotation von CA-Zertifikaten finden Sie unterAutomatische Rotation von Serverzertifikaten.
So aktualisieren Sie Ihr CA-Zertifikat, indem Sie Ihre DB-Instance Ihren Cluster ändern
-
Laden Sie das neue SSL TLS /-Zertifikat herunter, wie unter beschriebenVerwenden vonSSL/TLSzum Verschlüsseln einer Verbindung zu einer .
-
Aktualisieren Sie Ihre Anwendungen, sodass sie das neue SSL TLS /-Zertifikat verwenden.
Die Methoden zur Aktualisierung von Anwendungen für neue SSL TLS /-Zertifikate hängen von Ihren spezifischen Anwendungen ab. Arbeiten Sie mit Ihren Anwendungsentwicklern zusammen, um die SSL TLS /-Zertifikate für Ihre Anwendungen zu aktualisieren.
Informationen zur Suche nach SSL TLS /-Verbindungen und zur Aktualisierung von Anwendungen für die einzelnen DB-Engines finden Sie in den folgenden Themen:
Ein Beispielskript, das einen Trust Store für ein Linux-Betriebssystem aktualisiert, finden Sie unter Beispielskript für den Import von Zertifikaten in Ihren Trust Store.
Anmerkung
Das Zertifikat-Bundle enthält Zertifikate für die neue und die alte CA, damit Sie Ihre Anwendung sicher aktualisieren und die Verbindung während der Übergangsphase aufrecht erhalten können. Wenn Sie das verwenden, um eine Datenbank AWS Database Migration Service zu einer zu migrieren, empfehlen wir die Verwendung des Zertifikatspakets, um die Konnektivität während der Migration sicherzustellen.
-
Ändern Sie die DB-Instance , um die CA von rds-ca-2019 auf 2048-g1 zu ändern. rds-ca-rsa Um zu überprüfen, ob Ihre Datenbank zum Aktualisieren der CA-Zertifikate neu gestartet werden muss, verwenden Sie den Befehl und überprüfen Sie das Flag. describe-db-engine-versions
SupportsCertificateRotationWithoutRestart
Anmerkung
Starten Sie Ihren Babelfish-Cluster neu, nachdem Sie Änderungen vorgenommen haben, um das CA-Zertifikat zu aktualisieren.
Wichtig
Wenn nach dem Ablauf des Zertifikats Verbindungsprobleme auftreten, verwenden Sie die Option „Sofort anwenden“, indem Sie Sofort anwenden in der Konsole angeben oder die Option
--apply-immediately
mit der AWS CLI festlegen. Die Ausführung dieser Operation ist standardmäßig während Ihres nächsten Wartungsfensters eingeplant.Verwenden Sie den Befehl CLImodify-certificates, um eine Überschreibung für Ihre festzulegen, die sich von der Standard-CA unterscheidet.
Aktualisieren des CA-Zertifikats durch Anwenden der Wartung
Führen Sie die folgenden Schritte aus, um Ihr CA-Zertifikat zu aktualisieren, indem Sie die Wartung durchführen.
Automatische Rotation von Serverzertifikaten
Wenn Ihre Stammzertifizierungsstelle die automatische Rotation von Serverzertifikaten unterstützt, übernimmt sie RDS automatisch die Rotation des DB-Serverzertifikats. RDSverwendet dieselbe Stammzertifizierungsstelle für diese automatische Rotation, sodass Sie kein neues CA-Paket herunterladen müssen. Siehe Zertifizierungsstellen.
Die Rotation und Gültigkeit Ihres DB-Serverzertifikats hängen von Ihrer DB-Engine ab:
-
Wenn Ihre DB-Engine die Rotation ohne Neustart unterstützt, RDS wird das DB-Serverzertifikat automatisch rotiert, ohne dass Sie etwas unternehmen müssen. RDSversucht, Ihr DB-Serverzertifikat in Ihrem bevorzugten Wartungsfenster nach der Halbwertszeit des DB-Serverzertifikats zu rotieren. Das neue DB-Serverzertifikat ist 12 Monate lang gültig.
-
Wenn Ihre DB-Engine die Rotation ohne Neustart nicht unterstützt, werden Sie mindestens 6 Monate vor Ablauf des DB-Serverzertifikats über ein Wartungsereignis RDS informiert. Das neue DB-Serverzertifikat ist 36 Monate lang gültig.
Verwenden Sie den describe-db-engine-versionsBefehl und überprüfen Sie das SupportsCertificateRotationWithoutRestart
Kennzeichen, um festzustellen, ob die DB-Engine-Version die Rotation des Zertifikats ohne Neustart unterstützt. Weitere Informationen finden Sie unter Einstellung der CA für Ihre Datenbank.
Beispielskript für den Import von Zertifikaten in Ihren Trust Store
Nachfolgend sind Beispiel-Shell-Skripte aufgeführt, die das Zertifikatspaket in einen Vertrauensspeicher importieren.
Jedes Shell-Beispielskript verwendet Keytool, das Teil des Java Development Kit (JDK) ist. Informationen zur Installation von finden Sie im JDK JDKInstallationshandbuch
Weitere bewährte Methoden zur Verwendung SSL mit Amazon RDS finden Sie unter Bewährte Methoden für erfolgreiche SSL Verbindungen zu Amazon RDS for Oracle