Administración de la configuración de TLS del clúster

Cifrado de datos en tránsito

Puede utilizar seguridad de la capa de transporte (TLS) para cifrar la conexión entre su aplicación y un clúster de Amazon DocumentDB. De forma predeterminada, el cifrado en tránsito está habilitado para los clústeres de Amazon DocumentDB recién creados. Opcionalmente se puede deshabilitar cuando se crea el clúster o en un momento posterior. Cuando se habilita el cifrado en tránsito, se requieren conexiones seguras con TLS para conectarse al clúster. Para obtener más información sobre cómo conectarse a Amazon DocumentDB mediante TLS, consulte Conexión mediante programación a Amazon DocumentDB.

nota

El 23 de octubre de 2024, finalizará la compatibilidad con TLS 1.0 y TLS 1.1 y la versión mínima predeterminada pasará a ser TLS 1.2. Si su aplicación utiliza TLS 1.0 o TLS 1.1, debe actualizarla para que utilice la versión 1.2 de TLS o posterior para poder seguir utilizando los clústeres de Amazon DocumentDB existentes después del 23 de octubre de 2024; de lo contrario, la aplicación no podrá conectarse a una base de datos.

Administración de la configuración de TLS del clúster de Amazon DocumentDB

El cifrado en tránsito para un clúster de Amazon DocumentDB se administra mediante el parámetro TLS en un grupo de parámetros de clúster. Puede administrar la configuración de TLS del clúster de Amazon DocumentDB mediante la AWS Management Console o la AWS Command Line Interface (AWS CLI). Consulte las secciones siguientes para obtener información sobre cómo verificar y modificar la configuración actual de TLS.

Using the AWS Management Console

Siga estos pasos para realizar tareas de administración para el cifrado TLS mediante la consola, como identificar grupos de parámetros, verificar el valor de TLS y realizar las modificaciones necesarias.

nota

A menos que lo especifique de manera diferente al crear un clúster, el clúster se crea con el grupo de parámetros de clúster predeterminado. Los parámetros del default grupo de parámetros de clúster no se pueden modificar (por ejemplo, tls habilitado/deshabilitado). Por lo tanto, si su clúster está utilizando un default grupo de parámetros de clúster, debe modificar el clúster para utilizar un grupo de parámetros de clúster no predeterminado. En primer lugar, es posible que tenga que crear un grupo de parámetros de clúster personalizado. Para obtener más información, consulte Creación de grupos de parámetros de clúster de Amazon DocumentDB.

Determine el grupo de parámetros de clúster que utiliza el clúster.
1. Abra la consola de Amazon DocumentDB en https://console.aws.amazon.com/docdb.
2. En el panel de navegación, seleccione Clusters (Clústeres).
  
  sugerencia
  Si no ve el panel de navegación del lado izquierdo de la pantalla, seleccione el icono de menú () en la esquina superior izquierda de la página.
3. Tenga en cuenta que en el cuadro de navegación Clústeres, la columna Identificador del clústeres muestra tanto los clústeres como las instancias. Las instancias se muestran debajo de los clústeres. Consulte la siguiente captura de pantalla como referencia.
4. Elija el clúster que le interese.
5. Elija la pestaña de Configuración, desplácese hacia abajo hasta la parte inferior de Detalles del clúster) y localice el Grupo de parámetros de clúster. Anote el nombre del grupo de parámetros de clúster.
  
  Si el nombre del grupo de parámetros de clúster es default (por ejemplo, default.docdb3.6), debe crear un grupo de parámetros de clúster personalizado y convertirlo en el grupo de parámetros del clúster antes de continuar. Para más información, consulte los siguientes temas:
  1. Creación de grupos de parámetros de clúster de Amazon DocumentDB: si no dispone de un grupo de parámetros de clúster personalizado que pueda utilizar, créelo.
  2. Modificación de un clúster de Amazon DocumentDB: modifique el clúster de forma que use el grupo de parámetros de clúster personalizado.
Determinar el valor actual deltls parámetro de clúster.
1. Abra la consola de Amazon DocumentDB en https://console.aws.amazon.com/docdb.
2. En el panel de navegación, seleccione Parameter groups (Grupos de parámetros).
3. En la lista de grupos de parámetros de clúster, elija el nombre del grupo de parámetros de clúster que desee.
4. Localice la sección Cluster parameters (Parámetros de clúster). En la lista de parámetros de clúster, localice la tls fila del parámetro del clúster. En este punto, las cuatro columnas siguientes son importantes:
  - Nombre del parámetro de clúster: el nombre de los parámetros de clúster. Para la administración de TLS, le interesa el tls parámetro de clúster.
  - Valores: el valor actual de cada parámetro del clúster.
  - Valores permitidos: lista de valores que se pueden aplicar a un parámetro de clúster.
  - Tipo de aplicación: estática o dinámica. Los cambios en los parámetros de clúster estáticos solo se pueden aplicar al reiniciar las instancias. Los cambios en los parámetros de clúster dinámicos se pueden aplicar inmediatamente o al reiniciar las instancias.
Modificar el valor del tls parámetro de clúster.

Si el valor de tls no es el que necesita, modifíquelo para este grupo de parámetros de clúster. Para cambiar el valor del tls parámetro de clúster, continúe desde la sección anterior siguiendo los pasos que se indican a continuación.
1. Elija el botón situado a la izquierda del nombre del parámetro de clúster (tls).
2. Elija Editar.
3. Para cambiar el valor de tls, en el cuadro de diálogo Modificartls, elija el valor que desee para el parámetro de clúster en el menú desplegable.
  
  Los valores válidos son:
  - deshabilitado: deshabilita el TLS
  - habilitado: habilita las versiones 1.0, 1.1, 1.2 y 1.3 de TLS (nota: las versiones 1.0 y 1.1 de TLS quedarán obsoletas el 23 de octubre de 2024).
  - fips-140-3: habilita TLS con FIPS. El clúster solo acepta conexiones seguras según los requisitos de la publicación 140-3 de las Normas Federales de Proceso de la Información (FIPS). Esto solo se admite a partir de los clústeres de Amazon DocumentDB 5.0 (versión del motor 3.0.3727) en las siguientes regiones: ca-central-1, us-west-2, us-east-1, us-east-2, us-gov-east-1, us-gov-west-1.
4. Elija Modify cluster parameter (Modificar el parámetro de clúster). El cambio se aplicará a cada instancia del clúster cuando se reinicie.
Reinicie la instancia de Amazon DocumentDB.

Reinicie todas las instancias del clúster para que el cambio se aplique a todas ellas.
1. Abra la consola de Amazon DocumentDB en https://console.aws.amazon.com/docdb.
2. En el panel de navegación, seleccione Instances (Instancia[s]).
3. Para especificar la instancia que se va a reiniciar, búsquela en la lista de instancias y elija el botón situado a la izquierda de su nombre.
4. Elija Actions (Acciones) y, a continuación, Reboot (Reiniciar). Confirme que desea reiniciar eligiendo Reboot (Reiniciar).

Using the AWS CLI

Siga estos pasos para realizar tareas de administración para el cifrado TLS mediante la AWS CLI, como identificar grupos de parámetros, verificar el valor de TLS y realizar las modificaciones necesarias.

nota

A menos que especifique de manera diferente al crear un clúster, el clúster se crea con el grupo de parámetros de clúster predeterminado. Los parámetros del grupo de parámetros de clúster default no se pueden modificar (por ejemplo, tls habilitado/deshabilitado). Por lo tanto, si su clúster está utilizando un default grupo de parámetros de clúster, debe modificar el clúster para utilizar un grupo de parámetros de clúster no predeterminado. Es posible que primero tenga que crear un grupo de parámetros de clúster personalizado. Para obtener más información, consulte Creación de grupos de parámetros de clúster de Amazon DocumentDB.

Determine el grupo de parámetros de clúster que utiliza el clúster.

Use el comando describe-db-clusters con los siguientes parámetros:
- --db-cluster-identifier: obligatorio. El nombre del clúster que interesa.
- --query: opcional. Una consulta que limita la salida a tan solo los campos de interés, en este caso, el nombre del clúster y el nombre de su grupo de parámetros de clúster.
```
aws docdb describe-db-clusters \
       --db-cluster-identifier docdb-2019-05-07-13-57-08 \
       --query 'DBClusters[*].[DBClusterIdentifier,DBClusterParameterGroup]'               
```
La salida de esta operación será similar a lo que se indica a continuación (formato JSON).
```
[
       [
           "docdb-2019-05-07-13-57-08",
           "custom3-6-param-grp"
       ]
]
                  
```
Si el nombre del grupo de parámetros de clúster es default (es decir, default.docdb3.6) debe tener un grupo de parámetros de clúster personalizado y convertirlo en el grupo de parámetros de este clúster antes de continuar. Para obtener más información, consulte los temas siguientes:
1. Creación de grupos de parámetros de clúster de Amazon DocumentDB: si no dispone de un grupo de parámetros de clúster personalizado que pueda utilizar, créelo.
2. Modificación de un clúster de Amazon DocumentDB: modifique el clúster de forma que use el grupo de parámetros de clúster personalizado.
Determinar el valor actual deltls parámetro de clúster.

Para obtener más información sobre este grupo de parámetros de clúster, utilice la operación describe-db-cluster-parameters con los parámetros siguientes:
- --db-cluster-parameter-group-name: obligatorio. Utilice el nombre del grupo de parámetros de clúster de la salida de comando anterior.
- --query: opcional. Una consulta que limita la salida a solo los campos de interés, en este caso, el ParameterName, ParameterValue, AllowedValues, y ApplyType.
```
aws docdb describe-db-cluster-parameters \
    --db-cluster-parameter-group-name custom3-6-param-grp \
    --query 'Parameters[*].[ParameterName,ParameterValue,AllowedValues,ApplyType]'
```
La salida de esta operación será similar a lo que se indica a continuación (formato JSON).
```
[
    [
        "audit_logs",
        "disabled",
        "enabled,disabled",
        "dynamic"
    ],
    [
        "tls",
        "disabled",
        "disabled,enabled,fips-140-3",
        "static"
    ],
    [
        "ttl_monitor",
        "enabled",
        "disabled,enabled",
        "dynamic"
    ]
]
                  
```
Modificar el valor del parámetro de clústertls.

Si el valor de tls no es el que necesita, modifíquelo para este grupo de parámetros de clúster. Para cambiar el valor del parámetro de clúster tls, utilice la operación modify-db-cluster-parameter-group con los siguientes parámetros.
- --db-cluster-parameter-group-name: obligatorio. El nombre del grupo de parámetros de clúster que se va a modificar. No puede ser el grupo de parámetros de clústerdefault.*.
- --parameters: obligatorio. Lista de los parámetros del grupo de parámetros de clúster que se van a modificar.
  - ParameterName: obligatorio. El nombre del parámetro de clúster que se va a modificar.
  - ParameterValue: obligatorio. El valor nuevo de este parámetro de clúster. Debe ser uno de los AllowedValues del parámetro de clúster.
    
    enabled: el clúster solo acepta conexiones seguras que utilicen las versiones 1.0, 1.1, 1.2 o 1.3 de TLS (nota: las versiones 1.0 y 1.1 de TLS quedarán obsoletas el 23 de octubre de 2024).
    
    disabled: el clúster no acepta conexiones seguras mediante TLS.
    
    fips-140-3: el clúster solo acepta conexiones seguras según los requisitos de la publicación 140-3 de las Normas Federales de Proceso de la Información (FIPS). Esto solo se admite a partir de los clústeres de Amazon DocumentDB 5.0 (versión del motor 3.0.3727) en las siguientes regiones: ca-central-1, us-west-2, us-east-1, us-east-2, us-gov-east-1, us-gov-west-1.
  - ApplyMethod: cuándo se va a aplicar esta modificación. Para los parámetros de clúster estáticos, como tle, este valor debe ser pending-reboot.
    
    pending-reboot: el cambio se aplica a una instancia solo después de reiniciarla. Debe reiniciar cada instancia de clúster por separado para que este cambio entre en vigor en todas las instancias del clúster.
El siguiente código deshabilita tls, aplicando el cambio a cada instancia de base de datos cuando se reinicia.
```
aws docdb modify-db-cluster-parameter-group \
    --db-cluster-parameter-group-name custom3-6-param-grp \
    --parameters "ParameterName=tls,ParameterValue=disabled,ApplyMethod=pending-reboot"
```
El siguiente código habilita tls (versión 1.0, 1.1. 1.2 y 1.3), aplicando el cambio a cada instancia de base de datos cuando se reinicia.
```
aws docdb modify-db-cluster-parameter-group \
    --db-cluster-parameter-group-name custom3-6-param-grp \
    --parameters "ParameterName=tls,ParameterValue=enabled,ApplyMethod=pending-reboot"
```
El siguiente código habilita TLS con fips-140-3, aplicando el cambio a cada instancia de base de datos cuando se reinicia.
```
aws docdb modify-db-cluster-parameter-group \
    ‐‐db-cluster-parameter-group-name custom5-0-param-grp \
    ‐‐parameters "ParameterName=tls,ParameterValue=fips-140-3,ApplyMethod=pending-reboot"
```
La salida de esta operación será similar a lo que se indica a continuación (formato JSON).
```
{
    "DBClusterParameterGroupName": "custom3-6-param-grp"
}
```

Reinicie la instancia de Amazon DocumentDB.

Reinicie todas las instancias del clúster para que el cambio se aplique a todas ellas. Para reiniciar una instancia de Amazon DocumentDB, utilice la operación reboot-db-instance con el siguiente parámetro:

--db-instance-identifier: obligatorio. El identificador de la instancia que se va a reiniciar.

El siguiente código reinicia la instancia sample-db-instance.

Para Linux, macOS o Unix:


aws docdb reboot-db-instance \
       --db-instance-identifier sample-db-instance

Para Windows:


aws docdb reboot-db-instance ^
       --db-instance-identifier sample-db-instance

La salida de esta operación será similar a lo que se indica a continuación (formato JSON).


{
    "DBInstance": {
        "AutoMinorVersionUpgrade": true,
        "PubliclyAccessible": false,
        "PreferredMaintenanceWindow": "fri:09:32-fri:10:02",
        "PendingModifiedValues": {},
        "DBInstanceStatus": "rebooting",
        "DBSubnetGroup": {
            "Subnets": [
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1a"
                    },
                    "SubnetIdentifier": "subnet-4e26d263"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1c"
                    },
                    "SubnetIdentifier": "subnet-afc329f4"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1e"
                    },
                    "SubnetIdentifier": "subnet-b3806e8f"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1d"
                    },
                    "SubnetIdentifier": "subnet-53ab3636"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1b"
                    },
                    "SubnetIdentifier": "subnet-991cb8d0"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1f"
                    },
                    "SubnetIdentifier": "subnet-29ab1025"
                }
            ],
            "SubnetGroupStatus": "Complete",
            "DBSubnetGroupDescription": "default",
            "VpcId": "vpc-91280df6",
            "DBSubnetGroupName": "default"
        },
        "PromotionTier": 2,
        "DBInstanceClass": "db.r5.4xlarge",
        "InstanceCreateTime": "2018-11-05T23:10:49.905Z",
        "PreferredBackupWindow": "00:00-00:30",
        "KmsKeyId": "arn:aws:kms:us-east-1:012345678901:key/0961325d-a50b-44d4-b6a0-a177d5ff730b",
        "StorageEncrypted": true,
        "VpcSecurityGroups": [
            {
                "Status": "active",
                "VpcSecurityGroupId": "sg-77186e0d"
            }
        ],
        "EngineVersion": "3.6.0",
        "DbiResourceId": "db-SAMPLERESOURCEID",
        "DBInstanceIdentifier": "sample-cluster-instance-00",
        "Engine": "docdb",
        "AvailabilityZone": "us-east-1a",
        "DBInstanceArn": "arn:aws:rds:us-east-1:012345678901:db:sample-cluster-instance-00",
        "BackupRetentionPeriod": 1,
        "Endpoint": {
            "Address": "sample-cluster-instance-00.corcjozrlsfc.us-east-1.docdb.amazonaws.com",
            "Port": 27017,
            "HostedZoneId": "Z2R2ITUGPM61AM"
        },
        "DBClusterIdentifier": "sample-cluster"
    }
}

El reinicio de la instancia puede tardar unos minutos. Solo puede usar la instancia cuando su estado sea available (disponible). Puede monitorizar el estado de la instancia mediante la consola o la AWS CLI. Para obtener más información, consulte Supervisión del estado de un clúster de Amazon DocumentDB.

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Cifrado de datos en reposo

Administración de claves

Cifrado de datos en tránsito

nota

Administración de la configuración de TLS del clúster de Amazon DocumentDB

nota

sugerencia

nota