Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Sécurité avec Amazon Aurora PostgreSQL

Pour obtenir une présentation générale de la sécurité Aurora, consultez Sécurité dans ). Vous pouvez gérer la sécurité d’Amazon Aurora PostgreSQL à différents niveaux :

Toutes les versions Aurora PostgreSQL disponibles, y compris les versions 10, 11, 12, 13, 14 et les versions ultérieures, prennent en charge le mécanisme d’authentification SCRAM (Salted Challenge Response Authentication Mechanism) pour les mots de passe comme alternative à l’algorithme MD5. Nous vous recommandons d’utiliser SCRAM qui est plus sécurisé que MD5. Pour savoir comment migrer les mots de passe utilisateur de base de données de MD5 vers SCRAM, consultez Utilisation de SCRAM pour le chiffrement de mot de passe PostgreSQL.

Sécurisation des données Aurora PostgreSQL avec SSL/TLS

Amazon RDS prend en charge le chiffrement SSL (Secure Socket Layer) et TLS (Transport Layer Security) pour les clusters de bases de données Aurora PostgreSQL. À l'aide de SSL/TLS, vous pouvez chiffrer une connexion entre vos applications et vos clusters de bases de données Aurora PostgreSQL. Vous pouvez également forcer l'utilisation de toutes les connexions à votre cluster de base de données Aurora PostgreSQL. SSL/TLS Amazon Aurora PostgreSQL prend en charge le protocole TLS (Transport Layer Security) versions 1.1 et 1.2. Nous vous recommandons d’utiliser TLS 1.2 pour les connexions chiffrées. Nous avons ajouté la prise en charge TLSv1.3 des versions suivantes d'Aurora PostgreSQL :

Pour des informations générales sur le SSL/TLS support et les bases de données PostgreSQL, consultez la section Support SSL dans la documentation PostgreSQL. Pour plus d'informations sur l'utilisation d'une SSL/TLS connexion via JDBC, consultez la section Configuration du client dans la documentation de PostgreSQL.

SSL/TLS le support est disponible dans toutes les AWS régions pour Aurora PostgreSQL. Amazon RDS crée un SSL/TLS certificat pour votre cluster de base de données Aurora PostgreSQL lors de sa création. Si vous activez la vérification du SSL/TLS certificat, le SSL/TLS certificat inclut le point de terminaison du cluster de base de données comme nom commun (CN) du SSL/TLS certificat afin de se protéger contre les attaques par usurpation d'identité.

Voici un exemple d’utilisation de psql pour se connecter à un cluster de bases de données Aurora PostgreSQL :

$ psql -h testpg.cdhmuqifdpib.us-east-1.rds.amazonaws.com -p 5432 \
    "dbname=testpg user=testuser sslrootcert=rds-ca-2015-root.pem sslmode=verify-full"

Exiger une SSL/TLS connexion à un cluster de base de données Aurora PostgreSQL

Pour exiger des SSL/TLS connexions à votre cluster de base de données Aurora PostgreSQL, utilisez le paramètre. rds.force_ssl

La valeur par défaut de ce paramètre dépend de la version d’Aurora PostgreSQL :

Pour plus d’informations sur la gestion des paramètres, consultez Groupes de paramètres pour Amazon Aurora.

La mise à jour du rds.force_ssl paramètre définit également le paramètre ssl PostgreSQL sur 1 (activé) et modifie le fichier de votre cluster de bases de données pour prendre en charge pg_hba.conf la nouvelle configuration. SSL/TLS

Lorsque le rds.force_ssl paramètre est défini sur 1 pour un cluster de base de données, vous obtenez une sortie similaire à la suivante lorsque vous vous connectez, ce qui indique que SSL/TLS c'est désormais obligatoire :

$ psql postgres -h SOMEHOST.amazonaws.com -p 8192 -U someuser
psql (9.3.12, server 9.4.4)
WARNING: psql major version 9.3, server major version 9.4.
Some psql features might not work.
SSL connection (cipher: DHE-RSA-AES256-SHA, bits: 256)
Type "help" for help.

postgres=>                    
                

Déterminer l'état de la SSL/TLS connexion

Le statut chiffré de votre connexion est affiché dans la page d’accueil d’ouverture de session lorsque vous vous connectez au cluster de bases de données.

Password for user master: 
psql (9.3.12) 
SSL connection (cipher: DHE-RSA-AES256-SHA, bits: 256) 
Type "help" for help.   

postgres=> 

Vous pouvez également charger l'sslinfoextension, puis appeler la ssl_is_used() fonction pour déterminer si elle SSL/TLS est utilisée. La fonction renvoie t si la connexion est utilisée SSL/TLS, sinon elle revientf.

postgres=> create extension sslinfo;
CREATE EXTENSION

postgres=> select ssl_is_used();
 ssl_is_used
---------
t
(1 row) 

Vous pouvez utiliser la select ssl_cipher() commande pour déterminer le SSL/TLS code :

postgres=> select ssl_cipher();
ssl_cipher
--------------------
DHE-RSA-AES256-SHA
(1 row)
                

Si vous activez set rds.force_ssl et redémarrez le cluster de bases de données, les connexions non-SSL sont refusées avec le message suivant :

$ export PGSSLMODE=disable
$ psql postgres -h SOMEHOST.amazonaws.com -p 8192 -U someuser
psql: FATAL: no pg_hba.conf entry for host "host.ip", user "someuser", database "postgres", SSL off
$

Pour plus d’informations sur l’option sslmode, consultez Database Connection Control Functions dans la documentation PostgreSQL.

Configuration de suites de chiffrement pour les connexions aux clusters de bases de données Aurora PostgreSQL

L’utilisation de suites de chiffrement configurables vous permet d’avoir plus de contrôle sur la sécurité des connexions de vos bases de données. Vous pouvez spécifier une liste de suites de chiffrement que vous souhaitez autoriser pour sécuriser les SSL/TLS connexions client à votre base de données. Avec les suites de chiffrement configurables, vous pouvez contrôler le chiffrement de connexion accepté par votre serveur de base de données. Cela permet d’éviter l’utilisation de chiffrements non sécurisés ou obsolètes.

Les suites de chiffrement configurables sont prises en charge dans Aurora PostgreSQL 11.8 et versions ultérieures.

Pour spécifier la liste des chiffrements autorisés pour le chiffrement des connexions, modifiez le paramètre de cluster ssl_ciphers. Définissez le ssl_ciphers paramètre sur une chaîne de valeurs chiffrées séparées par des virgules dans un groupe de paramètres de cluster à l'aide de l'API AWS Management Console, de ou de l' AWS CLI API RDS. Pour définir des paramètres de cluster, consultez Modification des paramètres d'un groupe de paramètres de cluster de base de données dans Amazon Aurora.

Le tableau suivant indique les chiffrements autorisés pour chaque version majeure d'Aurora PostgreSQL.

Vous pouvez également utiliser la commande CLI describe-engine-default-cluster-parameters pour déterminer quelles suites de chiffrement sont actuellement prises en charge pour une famille de groupes de paramètres spécifique. L’exemple suivant montre comment obtenir les valeurs autorisées pour le paramètre de cluster ssl_cipher pour Aurora PostgreSQL 11.

aws rds describe-engine-default-cluster-parameters --db-parameter-group-family aurora-postgresql11
                
    ...some output truncated...
	{
		"ParameterName": "ssl_ciphers",
		"Description": "Sets the list of allowed TLS ciphers to be used on secure connections.",
		"Source": "engine-default",
		"ApplyType": "dynamic",
		"DataType": "list",
		"AllowedValues": "DHE-RSA-AES128-SHA,DHE-RSA-AES128-SHA256,DHE-RSA-AES128-GCM-SHA256,DHE-RSA-AES256-SHA,DHE-RSA-AES256-SHA256,DHE-RSA-AES256-GCM-SHA384,
		ECDHE-RSA-AES128-SHA,ECDHE-RSA-AES128-SHA256,ECDHE-RSA-AES128-GCM-SHA256,ECDHE-RSA-AES256-SHA,ECDHE-RSA-AES256-SHA384,ECDHE-RSA-AES256-GCM-SHA384,TLS_RSA_WITH_AES_256_GCM_SHA384,
		TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,
		TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA",
		"IsModifiable": true,
		"MinimumEngineVersion": "11.8",
		"SupportedEngineModes": [
			"provisioned"
		]
	},
    ...some output truncated...

Le ssl_ciphers paramètre utilise par défaut toutes les suites de chiffrement TLS 1.2 autorisées. Pour plus d’informations sur les chiffrements, consultez la variable ssl_ciphers dans la documentation PostgreSQL.

À partir d'Aurora PostgreSQL 18.3, deux paramètres contrôlent les suites de chiffrement proposées par le serveur lors de la prise de contact TLS. Les deux paramètres sont indépendants et complémentaires : ils ssl_ciphers contrôlent les chiffrements de version TLS 1.2 et ssl_tls13_ciphers les chiffrements de version TLS 1.3.

Mise à niveau à partir de versions antérieures d'Aurora PostgreSQL

À partir d'Aurora PostgreSQL 18.3, les chiffrements TLS 1.3 ne sont plus contrôlés par le paramètre. ssl_ciphers Si vous effectuez une mise à niveau à partir d'une version antérieure et que votre groupe de paramètres de cluster de base de données personnalisé est défini ssl_ciphers dans le but de restreindre les chiffrements TLS 1.3, ces entrées ne s'appliquent plus aux connexions TLS 1.3 après la mise à niveau. Pour contrôler la liste de chiffrement TLS 1.3, définissez votre groupe de paramètres ssl_tls13_ciphers de cluster de base de données personnalisé.