Solución de problemas de establecimiento de conexiones SSL/TLS con DynamoDB

Amazon DynamoDB está moviendo nuestros puntos de enlace a certificados seguros firmados por la entidad de certificación de Amazon Trust Services (ATS) en lugar de una entidad de certificación de terceros. En diciembre de 2017, lanzamos la región EU-WEST-3 (París) con los certificados seguros emitidos por Amazon Trust Services. Todas las nuevas regiones lanzadas después de diciembre de 2017 tienen puntos de enlace con los certificados emitidos por Amazon Trust Services. Esta guía le muestra cómo validar y solucionar los problemas de conexión SSL/TLS.

Probar su aplicación o servicio

La mayoría de los SDK de AWS y las interfaces de línea de comandos (CLI) admiten la entidad de certificación de Amazon Trust Services. Si está utilizando una versión de SDK de AWS para Python o CLI publicado antes del 29 de octubre de 2013, debe actualizarlo. Los SDK y CLI de .NET, Java, PHP, Go, JavaScript y C++ no agrupan ningún certificado, sus certificados provienen del sistema operativo subyacente. El SDK de Ruby ha incluido al menos una de las entidades de certificación requeridas desde el 10 de junio de 2015. Antes de esa fecha, el SDK de Ruby V2 no agrupaba certificados. Si utiliza una versión no compatible, personalizada o modificada de los SDK de AWS, o si utiliza un almacén de confianza personalizado, es posible que no cuente con el soporte necesario para la entidad de certificación de Amazon Trust Services.

Para validar el acceso a los puntos de enlace de DynamoDB, deberá desarrollar una prueba que acceda a la API de DynamoDB o a la API de DynamoDB Streams en la región EU-WEST-3 y validar que el establecimiento de comunicación TLS tenga éxito. Los puntos de enlace específicos a los que deberá acceder en dicha prueba son:

Si su aplicación no es compatible con la entidad de certificación de Amazon Trust Services, verá uno de los siguientes errores:

Probar el navegador del cliente

Para comprobar que su navegador puede conectarse a Amazon DynamoDB, abra la siguiente dirección URL: https://dynamodb.eu-west-3.amazonaws.com. Si la prueba se realiza correctamente, aparecerá un mensaje como este:

healthy: dynamodb.eu-west-3.amazonaws.com

Si la prueba no tiene éxito, mostrará un error similar al siguiente: https://untrusted-root.badssl.com/.

Actualización del cliente de aplicación de software

Las aplicaciones que obtengan acceso a los puntos de enlace de la API de DynamoDB o DynamoDB Streams (ya sea a través de un navegador o mediante programación) deberán actualizar la lista de entidades de certificación de confianza en los equipos del cliente si aún no admiten alguna de las siguientes entidades de certificación:

Si los clientes ya confían en CUALQUIERA de las tres entidades de certificaciones anteriores, estas confiarán en los certificados utilizados por DynamoDB y no se requiere ninguna acción. Sin embargo, si sus clientes no confían en ninguna de las entidades de certificación anteriores, las conexiones HTTPS a las API de DynamoDB o DynamoDB Streams van a fallar. Para obtener más información, visite esta entrada al blog: https://aws.amazon.com/blogs/security/how-to-prepare-for-aws-move-to-its-own-certificate-authority/.

Actualización del navegador del cliente

Puede actualizar el paquete de certificados en su navegador simplemente actualizando su navegador. Las instrucciones para los navegadores más comunes se pueden encontrar en los sitios web de los navegadores:

Actualización manual su paquete de certificados

Si no puede acceder a la API de DynamoDB o la API de DynamoDB Streams, entonces deberá actualizar la agrupación de certificados. Para ello, debe importar al menos una de las entidades de certificación requeridas. Puede encontrarlas en https://www.amazontrust.com/repository/.

Los siguientes sistemas operativos y lenguajes de programación admiten certificados de Amazon Trust Services:

Si aún no puede conectarse, consulte la documentación del software, el proveedor del sistema operativo o contacte con AWS Support https://aws.amazon.com/support para obtener más ayuda.