コンプライアンスプログラムのための RDS Custom for Oracle の認証情報のローテーション

DB インスタンスのユーザー認証情報を手動でローテーションするには

1. AWS Management Console にサインインし、Amazon RDS コンソール https://console.aws.amazon.com/rds/ を開きます。

2. データベースで、RDS が現在 DB インスタンスをバックアップしていないか、高可用性の設定などの操作を実行していないことを確認します。

3. データベースの詳細ページで、[設定] を選択し、DB インスタンスのリソース ID を書き留めます。または、AWS CLI コマンド describe-db-instances を使用できます。

4. Secrets Manager のコンソール (https://console.aws.amazon.com/secretsmanager/) を開きます。

5. 検索ボックスに、DB リソース ID を入力し、以下のフォームでシークレットを検索してください。

   do-not-delete-rds-custom-db-resource-id-numeric-string

   このシークレットには、RDSADMIN、SYS、および SYSTEM のパスワードが保存されます。次のサンプルキーは、DB リソース ID db-ABCDEFG12HIJKLNMNOPQRS3TUVWX の DB インスタンス用です。

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456

   重要

   DB インスタンスがリードレプリカで custom-oracle-ee-cdb エンジンを使用する場合、サフィックス db-resource-id-numeric-string が付いた 2 つのシークレットが存在します。1 つはマスターユーザー用で、もう 1 つは RDSADMIN、SYS および SYSTEM です。正しいシークレットを見つけるには、次のコマンドをホストで実行します。

   cat /opt/aws/rdscustomagent/config/database_metadata.json | python3 -c "import sys,json; print(json.load(sys.stdin)['dbMonitoringUserPassword'])"

   この dbMonitoringUserPassword 属性は、RDSADMIN、SYS、および SYSTEM のシークレットを示します。

6. DB インスタンスが Oracle Data Guard 設定に存在する場合は、次の形式でシークレットを見つけてください。

   do-not-delete-rds-custom-db-resource-id-numeric-string-dg

   このシークレットには、RDS_DATAGUARD のパスワードが保存されます。次のサンプルキーは、DB リソース ID db-ABCDEFG12HIJKLNMNOPQRS3TUVWX の DB インスタンス用です。

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg

7. 「定義済みの Oracle ユーザー」に記載されているすべてのデータベースユーザーについて、「AWS Secrets Manager シークレットの変更」の指示に従ってパスワードを更新します。

8. データベースがスタンドアロンデータベースまたは Oracle Data Guard 設定のソースデータベースの場合:

   1. Oracle SQL クライアントを起動し、SYS としてログインします。

   2. 「事前定義済み Oracle ユーザー」にリストされているデータベースユーザーごとに、次の形式の SQL ステートメントを実行します。

      ALTER USER user-name IDENTIFIED BY pwd-from-secrets-manager ACCOUNT UNLOCK;

      例えば、Secrets Manager に保存されている RDSADMIN の新しいパスワードが pwd-123 の場合、次のステートメントを実行します。

      ALTER USER RDSADMIN IDENTIFIED BY pwd-123 ACCOUNT UNLOCK;

9. DB インスタンスが Oracle Database 12c リリース 1 (12.1) を実行していて、Oracle Data Guard によって管理されている場合は、プライマリ DB インスタンスから各スタンバイ DB インスタンスにパスワードファイル (orapw) を手動でコピーします。

   DB インスタンスが Amazon RDS でホストされている場合、パスワードファイルの場所は /rdsdbdata/config/orapw です。Amazon RDS でホストされていないデータベースの場合、デフォルトの場所は、Linux と UNIX では $ORACLE_HOME/dbs/orapw$ORACLE_SID、Windows では %ORACLE_HOME%\database\PWD%ORACLE_SID%.ora です。