Rotation RDS des informations d'identification Custom for Oracle pour les programmes de conformité

Pour effectuer une rotation manuelle des informations d'identification utilisateur pour une instance de base de données

1. Connectez-vous à la RDS console Amazon AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/rds/.

2. Dans Bases de données, assurez-vous qu'il ne sauvegarde RDS pas actuellement votre instance de base de données ou n'effectue pas d'opérations telles que la configuration de la haute disponibilité.

3. Sur la page de détails de la base de données, choisissez Configuration et notez l'ID de ressource de l'instance de base de données. Vous pouvez également utiliser la AWS CLI commandedescribe-db-instances.

4. Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/.

5. Dans la zone de recherche, saisissez votre ID de ressource de base de données et recherchez le secret sous la forme suivante :

   do-not-delete-rds-custom-db-resource-id-numeric-string

   Ce secret enregistre le mot de passe pour RDSADMIN, SYS et SYSTEM. L'exemple de clé suivant concerne l'instance de base de données avec l'ID de ressource de base de données db-ABCDEFG12HIJKLNMNOPQRS3TUVWX :

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456

   Important

   Si votre instance de base de données est un réplica en lecture et utilise le moteur custom-oracle-ee-cdb, deux secrets existent avec le suffixe db-resource-id-numeric-string, l'un pour l'utilisateur principal et l'autre pour RDSADMIN, SYS et SYSTEM. Pour trouver le secret correct, exécutez la commande suivante sur l'hôte :

   cat /opt/aws/rdscustomagent/config/database_metadata.json | python3 -c "import sys,json; print(json.load(sys.stdin)['dbMonitoringUserPassword'])"

   L'attribut dbMonitoringUserPassword indique le secret pour RDSADMIN, SYS et SYSTEM.

6. Si votre instance de base de données existe dans une configuration Oracle Data Guard, recherchez le secret sous la forme suivante :

   do-not-delete-rds-custom-db-resource-id-numeric-string-dg

   Ce secret enregistre le mot de passe pour RDS_DATAGUARD. L'exemple de clé suivant concerne l'instance de base de données avec l'ID de ressource de base de données db-ABCDEFG12HIJKLNMNOPQRS3TUVWX :

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg

7. Pour tous les utilisateurs de base de données répertoriés dans Utilisateurs Oracle prédéfinis, mettez à jour les mots de passe en suivant les instructions de la section Modifier un AWS Secrets Manager secret.

8. Si votre base de données est une base de données autonome ou une base de données source dans une configuration Oracle Data Guard :

   1. Démarrez votre SQL client Oracle et connectez-vous en tant queSYS.

   2. Exécutez une SQL instruction sous la forme suivante pour chaque utilisateur de base de données répertorié dans Utilisateurs Oracle prédéfinis :

      ALTER USER user-name IDENTIFIED BY pwd-from-secrets-manager ACCOUNT UNLOCK;

      Par exemple, si le nouveau mot de passe pour RDSADMIN enregistré dans Secrets Manager est pwd-123, exécutez l'instruction suivante :

      ALTER USER RDSADMIN IDENTIFIED BY pwd-123 ACCOUNT UNLOCK;

9. Si votre instance de base de données exécute Oracle Database 12c version 1 (12.1) et qu'elle est gérée par Oracle Data Guard, copiez manuellement le fichier de mots de passe (orapw) de l'instance de base de données principale vers chaque instance de base de données de secours.

   Si votre instance de base de données est hébergée sur AmazonRDS, l'emplacement du fichier de mots de passe est/rdsdbdata/config/orapw. Pour les bases de données qui ne sont pas hébergées $ORACLE_HOME/dbs/orapw$ORACLE_SID sur AmazonRDS, l'emplacement par défaut est Linux UNIX et %ORACLE_HOME%\database\PWD%ORACLE_SID%.ora Windows.