기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다. # Amazon DocumentDB TLS 인증서 업데이트 — GovCloud **Topics** + [애플리케이션 및 Amazon DocumentDB 클러스터 업데이트](#ca_cert_rotation-updating_application) + [문제 해결](#ca_cert_rotation-troubleshooting) + [FAQ](#ca_cert_rotation-faq) **참고** 이 정보는 GovCloud(미국 서부) 및 GovCloud(미국 동부) 지역의 사용자에게 적용됩니다. Amazon DocumentDB(MongoDB 호환) 클러스터의 CA(인증 기관) 인증서는 **2022년 5월 18일**부터 업데이트됩니다. 전송 계층 보안(TLS)을 사용하도록 설정된 상태에서 Amazon DocumentDB 클러스터를 사용하는 경우(기본 설정), 그리고 클라이언트 응용프로그램 및 서버 인증서를 회전하지 않은 경우, 응용프로그램과 Amazon DocumentDB 클러스터 간의 연결 문제를 완화하려면 다음 단계가 필요합니다. + [1단계: 새 CA 인증서 다운로드 및 애플리케이션 업데이트](#ca_cert_rotation-pdt-updating_application_step1) + [2단계: 서버 인증서 업데이트](#ca_cert_rotation-pdt-updating_application_step2) CA 및 서버 인증서는 Amazon DocumentDB 표준 유지 관리 및 보안 모범 사례의 일부로 업데이트되었습니다. 이전 CA 인증서는 2022년 5월 18일에 만료됩니다. 클라이언트 응용프로그램은 신뢰 저장소에 새 CA 인증서를 추가해야 하며, 기존 Amazon DocumentDB 인스턴스는 이 만료일 이전에 새 CA 인증서를 사용하도록 업데이트해야 합니다. ## 애플리케이션 및 Amazon DocumentDB 클러스터 업데이트 이 섹션의 단계에 따라 애플리케이션의 CA 인증서 번들([1단계](https://docs.aws.amazon.com/documentdb/latest/developerguide/ca_cert_rotation.html#ca_cert_rotation-pdt-updating_application_step1))과 클러스터의 서버 인증서([2단계](https://docs.aws.amazon.com/documentdb/latest/developerguide/ca_cert_rotation.html#ca_cert_rotation-pdt-updating_application_step2))를 업데이트합니다. 프로덕션 환경에 변경 사항을 적용하기 전에 개발 또는 스테이징 환경에서 이러한 단계를 테스트하는 것이 좋습니다. **참고** Amazon DocumentDB 클러스터가 있는 각 AWS 리전 에서 1단계와 2단계를 완료해야 합니다. ### 1단계: 새 CA 인증서 다운로드 및 애플리케이션 업데이트 새 CA 인증서를 다운로드하고 응용 프로그램을 업데이트하여 새 CA 인증서를 사용하여 특정 리전의 Amazon DocumentDB에 TLS 연결을 만듭니다. + GovCloud(미국 서부)의 경우 [https://truststore.pki.us-gov-west-1.rds.amazonaws.com/us-gov-west-1/us-gov-west-1-bundle.pem](https://truststore.pki.us-gov-west-1.rds.amazonaws.com/us-gov-west-1/us-gov-west-1-bundle.pem)에서 새 CA 인증서 번들을 다운로드합니다. 그러면 `us-gov-west-1-bundle.pem`라는 파일이 다운로드됩니다. + GovCloud(미국 동부)의 경우 [https://truststore.pki.us-gov-west-1.rds.amazonaws.com/us-gov-east-1/us-gov-east-1-bundle.pem](https://truststore.pki.us-gov-west-1.rds.amazonaws.com/us-gov-east-1/us-gov-east-1-bundle.pem)에서 새 CA 인증서 번들을 다운로드합니다. 그러면 `us-gov-east-1-bundle.pem`라는 파일이 다운로드됩니다. **참고** 이전 CA 인증서(`rds-ca-2017-root.pem`)와 새 CA 인증서(`rds-ca-rsa2048-g1.pem`, `rds-ca-rsa4096-g1.pem` 또는 `rds-ca-ecc384-g1.pem`)가 모두 포함된 키 스토어에 액세스하는 경우 키 스토어에서 선택한 인증서를 선택하는지 확인하세요. 각 인증서에 대한 자세한 내용은 아래 2단계를 참조하세요. ``` wget https://truststore.pki.us-gov-west-1.rds.amazonaws.com/us-gov-west-1/us-gov-west-1-bundle.pem ``` ``` wget https://truststore.pki.us-gov-west-1.rds.amazonaws.com/us-gov-east-1/us-gov-east-1-bundle.pem ``` 그런 다음 새 인증서 번들을 사용하도록 애플리케이션을 업데이트합니다. 새 CA 번들에는 이전 CA 인증서와 새 CA 인증서(`rds-ca-rsa2048-g1.pem`, `rds-ca-rsa4096-g1.pem` 또는 `rds-ca-ecc384-g1.pem`)가 모두 포함되어 있습니다. 새 CA 번들에 두 CA 인증서가 모두 포함되어 있으므로 애플리케이션과 클러스터를 두 단계로 업데이트할 수 있습니다. 2021년 12월 21일 이후에 CA 인증서 번들을 다운로드하면 새 CA 인증서 번들이 사용됩니다. 애플리케이션에서 최신 CA 인증서 번들을 사용하고 있는지 확인하려면 [최신 CA 번들을 사용하고 있는지 어떻게 확인할 수 있습니까?](#ca_cert_rotation_pdt-faq_question13) 섹션을 참조하세요. 애플리케이션에서 최신 CA 인증서 번들을 이미 사용하고 있는 경우 2단계로 건너뛸 수 있습니다. 애플리케이션에 CA 번들을 사용하는 경우의 예는 [전송 중 데이터 암호화](security.encryption.ssl.md) 및 [TLS가 활성화된 상태에서 연결](connect_programmatically.md#connect_programmatically-tls_enabled) 섹션을 참조하세요. **참고** 현재 MongoDB Go Driver 1.2.1은 `sslcertificateauthorityfile`에서 하나의 CA 서버 인증서만 허용합니다. TLS가 활성화될 때 Go를 사용하여 Amazon DocumentDB에 연결하는 방법은 [TLS가 활성화된 상태에서 연결](connect_programmatically.md#connect_programmatically-tls_enabled) 섹션을 참조하세요. ### 2단계: 서버 인증서 업데이트 응용프로그램이 새 CA 번들을 사용하도록 업데이트되면, 다음 단계는 Amazon DocumentDB 클러스터의 각 인스턴스를 수정하여 서버 인증서를 업데이트하는 것입니다. 새 서버 인증서를 사용하도록 인스턴스를 수정하려면 다음 지침을 참조하세요. Amazon DocumentDB는 DB 인스턴스의 DB 서버 인증서에 서명할 수 있는 다음 CA를 제공합니다. + **rds-ca-ecc384-g1**—ECC 384 프라이빗 키 알고리즘과 SHA384 서명 알고리즘을 갖춘 인증 기관을 사용합니다. 이 CA는 자동 서버 인증서 교체를 지원합니다. 이는 현재 Amazon DocumentDB 4.0 및 5.0에서만 지원됩니다. + **rds-ca-rsa2048-g1** - 대부분의 AWS 리전에서 RSA 2048 프라이빗 키 알고리즘 및 SHA256 서명 알고리즘과 함께 인증 기관을 사용합니다. 이 CA는 자동 서버 인증서 교체를 지원합니다. + **rds-ca-rsa4096-g1**—RSA 4096 프라이빗 키 알고리즘과 SHA384 서명 알고리즘을 갖춘 인증 기관을 사용합니다. 이 CA는 자동 서버 인증서 교체를 지원합니다. **참고** 를 사용하는 경우 [describe-certificates](https://docs.aws.amazon.com/cli/latest/reference/docdb/describe-certificates.html)를 사용하여 위에 나열된 인증 기관의 유효성을 확인할 AWS CLI수 있습니다. **참고** Amazon DocumentDB 4.0 및 5.0 인스턴스는 재부팅할 필요가 **없습니다**. Amazon DocumentDB 3.6 인스턴스를 업데이트하려면 재부팅이 필요하며 이로 인해 서비스 중단이 발생할 수 있습니다. 서버 인증서를 업데이트하기 전에 [1단계](https://docs.aws.amazon.com/documentdb/latest/developerguide/ca_cert_rotation.html#ca_cert_rotation-pdt-updating_application_step1)를 완료했는지 확인합니다. ------ #### [ Using the AWS Management Console ] AWS Management Console을 사용하여 기존 Amazon DocumentDB 인스턴스의 이전 서버 인증서를 식별하고 교체하기 위해 다음 단계를 완료하세요. 1. 에 로그인 AWS Management Console하고 [https://console.aws.amazon.com/docdb](https://console.aws.amazon.com/docdb) Amazon DocumentDB 콘솔을 엽니다. 1. 화면 오른쪽 상단의 리전 목록에서 클러스터가 있는 AWS 리전 를 선택합니다. 1. 콘솔 왼쪽의 탐색 창에서 **클러스터**를 선택합니다. 1. 이전 서버 인증서(`rds-ca-2017`)에 아직 남아 있는 인스턴스를 식별해야 할 수도 있습니다. 기본적으로 숨겨져 있는 **인증 기관** 열에서 이 작업을 수행할 수 있습니다. **인증 기관** 열을 표시하려면 다음을 수행합니다. 1. **설정** 아이콘을 선택합니다. ![설정 아이콘이 강조 표시된 클러스터 탐색 상자의 이미지입니다.](http://docs.aws.amazon.com/ko_kr/documentdb/latest/developerguide/images/ca-cert-settings.png) 1. 표시되는 열 목록에서 **인증 기관** 열을 선택합니다. 1. 그런 다음 **확인**을 선택해 변경 사항을 저장합니다. 1. 클러스터 탐색 상자에 **클러스터 식별자**열이 표시됩니다. 인스턴스는 아래 스크린샷과 마찬가지로 클러스터 아래에 나열됩니다. ![기존 클러스터 링크 및 해당 인스턴스 링크의 목록을 보여주는 클러스터 탐색 상자의 이미지입니다.](http://docs.aws.amazon.com/ko_kr/documentdb/latest/developerguide/images/choose-clusters.png) 1. 관심 있는 인스턴스의 왼쪽에 있는 박스를 선택합니다. 1. **작업**을 선택한 다음 **수정**을 선택합니다. 1. **인증 기관**에서 이 인스턴스에 대한 새 서버 인증서(`rds-ca-rsa2048-g1`,`rds-ca-rsa4096-g1`, 또는 `rds-ca-ecc384-g1`)를 선택합니다. 1. 다음 페이지에서 변경 사항 요약을 볼 수 있습니다. 연결이 중단되지 않도록 인스턴스를 수정하기 전에 애플리케이션이 최신 인증서 CA 번들을 사용하고 있는지 확인하는 추가 알림이 있습니다. 1. 다음 유지 관리 기간 중에 수정 사항을 적용하거나 즉시 적용하도록 선택할 수 있습니다. 서버 인증서를 즉시 수정하려는 경우 **즉시 적용** 옵션을 사용합니다. 1. **Modify instance(인스턴스 수정)**를 선택하여 업데이트를 완료합니다. ------ #### [ Using the AWS CLI ] AWS CLI을 사용하여 기존 Amazon DocumentDB 인스턴스의 이전 서버 인증서를 식별하고 교체하기 위해 다음 단계를 완료하세요. 1. 인스턴스를 즉시 수정하려면 클러스터의 각 인스턴스에 대해 다음 명령을 실행합니다. 인증서 중에서 `rds-ca-rsa2048-g1`,`rds-ca-rsa4096-g1` 또는 `rds-ca-ecc384-g1` 중 하나를 수행합니다. ``` aws docdb modify-db-instance --db-instance-identifier {{}} --ca-certificate-identifier rds-ca-rsa4096-g1 --apply-immediately ``` 1. 클러스터의 다음 유지 관리 기간 동안 새 CA 인증서를 사용하도록 클러스터의 인스턴스를 수정하려면 클러스터의 각 인스턴스에 대해 다음 명령을 실행합니다. 인증서 중에서 `rds-ca-rsa2048-g1`,`rds-ca-rsa4096-g1` 또는 `rds-ca-ecc384-g1` 중 하나를 수행합니다. ``` aws docdb modify-db-instance --db-instance-identifier {{}} --ca-certificate-identifier rds-ca-rsa4096-g1 --no-apply-immediately ``` ------ ## 문제 해결 인증서 교체의 일부로 클러스터에 연결하는 데 문제가 있는 경우 다음을 권장합니다. + **인스턴스를 재부팅합니다.** 새 인증서를 교체하려면 각 인스턴스를 재부팅해야 합니다. 새 인증서를 하나 이상의 인스턴스에 적용했지만 재부팅하지 않은 경우 인스턴스를 재부팅하여 새 인증서를 적용합니다. 자세한 내용은 [Amazon DocumentDB 인스턴스 재부팅](db-instance-reboot.md) 단원을 참조하십시오. + **클라이언트가 최신 인증서 번들을 사용하고 있는지 확인합니다.** [최신 CA 번들을 사용하고 있는지 어떻게 확인할 수 있습니까?](#ca_cert_rotation_pdt-faq_question13)을(를) 참조하세요. + **인스턴스가 최신 인증서를 사용하고 있는지 확인합니다.** [내 Amazon DocumentDB 인스턴스가 이전/새 서버 인증서를 사용하고 있는지 어떻게 알 수 있습니까?](#ca_cert_rotation_pdt-faq_question5)을(를) 참조하세요. + **애플리케이션에서 최신 인증서 CA를 사용하고 있는지 확인합니다.** Java 및 Go와 같은 일부 드라이버는 인증서 번들에서 신뢰 저장소로 여러 인증서를 가져오려면 추가 코드가 필요합니다. TLS를 사용하여 Amazon DocumentDB에 연결하는 방법에 대한 자세한 내용은 [Amazon DocumentDB에 프로그래밍 방식으로 연결](connect_programmatically.md)을 참조하세요. + **고객 지원 센터에 문의.**. 질문이나 문제가 있으면 [지원](https://aws.amazon.com/premiumsupport)에 연락하세요. ## FAQ 다음은 TLS 인증서에 대한 몇 가지 일반적인 질문에 대한 답변입니다. ### 질문이나 문제가 있는 경우 어떻게 해야 합니까? 질문이나 문제가 있으면 [지원](https://aws.amazon.com/premiumsupport)에 연락하세요. ### Amazon DocumentDB 클러스터에 연결하는 데 TLS를 사용했는지 어떻게 알 수 있습니까? 클러스터의 클러스터 파라미터 그룹에 대한 `tls` 파라미터를 확인하여 클러스터에서 TLS를 사용하고 있는지 확인할 수 있습니다. `tls` 파라미터가 `enabled`로 설정된 경우 TLS 인증서를 사용하여 클러스터에 연결되어 있는 것입니다. 자세한 내용은 [Amazon DocumentDB 클러스터 파라미터 그룹 관리](cluster_parameter_groups.md) 단원을 참조하십시오. ### CA와 서버 인증서를 업데이트하는 이유는 무엇입니까? Amazon DocumentDB CA 및 서버 인증서는 Amazon DocumentDB 표준 유지 관리 및 보안 모범 사례의 일환으로 업데이트되고 있습니다. 현재 CA 및 서버 인증서는 2022년 5월 18일 수요일에 만료됩니다. ### 만료일까지 조치를 취하지 않으면 어떻게 됩니까? TLS를 사용하여 Amazon DocumentDB 클러스터에 연결하고 2022년 5월 18일까지 인증서를 변경하지 않으면 TLS를 통해 연결하는 응용프로그램은 더 이상 Amazon DocumentDB 클러스터와 통신할 수 없습니다. Amazon DocumentDB는 만료가 이뤄질 때까지 데이터베이스 인증서를 자동으로 교체하지 않을 것입니다. 만료일 이전 또는 이후에 새 CA 인증서를 사용하려면 애플리케이션과 클러스터를 업데이트해야 합니다. ### 내 Amazon DocumentDB 인스턴스가 이전/새 서버 인증서를 사용하고 있는지 어떻게 알 수 있습니까? 여전히 이전 서버 인증서를 사용하는 Amazon DocumentDB 인스턴스를 식별하려면 Amazon DocumentDB AWS Management Console 또는를 사용할 수 있습니다 AWS CLI. #### 사용 AWS Management Console **이전 인증서를 사용하는 클러스터의 인스턴스를 식별하려면** 1. 에 로그인 AWS Management Console하고 [https://console.aws.amazon.com/docdb](https://console.aws.amazon.com/docdb) Amazon DocumentDB 콘솔을 엽니다. 1. 화면 오른쪽 상단의 리전 목록에서 인스턴스가 있는 AWS 리전 를 선택합니다. 1. 콘솔 왼쪽의 탐색 창에서 **인스턴스**를 선택합니다. 1. **인증 기관** 열(기본적으로 숨겨짐)에는 아직 이전 서버 인증서(`rds-ca-2017`) 및 새 서버 인증서(`rds-ca-rsa2048-g1`, `rds-ca-rsa4096-g1`, 또는 `rds-ca-ecc384-g1`)에 있는 인스턴스가 표시됩니다. **인증 기관** 열을 표시하려면 다음을 수행합니다. 1. **설정** 아이콘을 선택합니다. 1. 표시되는 열 목록에서 **인증 기관** 열을 선택합니다. 1. 그런 다음 **확인**을 선택해 변경 사항을 저장합니다. #### 사용 AWS CLI 이전 서버 인증서를 사용하는 클러스터의 인스턴스를 식별하려면 `describe-db-clusters` 명령을 다음과 함께 사용합니다. ``` aws docdb describe-db-instances \ --filters Name=engine,Values=docdb \ --query 'DBInstances[*].{CertificateVersion:CACertificateIdentifier,InstanceID:DBInstanceIdentifier}' ``` ### Amazon DocumentDB 클러스터에서 개별 인스턴스를 수정하여 서버 인증서를 업데이트하려면 어떻게 해야 합니까? 특정 클러스터의 모든 인스턴스에 대한 서버 인증서를 동시에 업데이트하는 것이 좋습니다. 클러스터의 인스턴스를 수정하기 위해 콘솔 또는 AWS CLI를 사용할 수 있습니다. **참고** 인스턴스를 업데이트하려면 재부팅이 필요하며 이로 인해 서비스 중단이 발생할 수 있습니다. 서버 인증서를 업데이트하기 전에 [1단계](https://docs.aws.amazon.com/documentdb/latest/developerguide/ca_cert_rotation.html#ca_cert_rotation-pdt-updating_application_step1)를 완료했는지 확인합니다. #### 사용 AWS Management Console 1. 에 로그인 AWS Management Console하고 [https://console.aws.amazon.com/docdb](https://console.aws.amazon.com/docdb) Amazon DocumentDB 콘솔을 엽니다. 1. 화면 오른쪽 상단의 리전 목록에서 클러스터가 있는 AWS 리전 를 선택합니다. 1. 콘솔 왼쪽의 탐색 창에서 **인스턴스**를 선택합니다. 1. **인증 기관** 열(기본적으로 숨겨짐)에는 아직 이전 서버 인증서에 있는 인스턴스(`rds-ca-2017`)가 표시됩니다. **인증 기관** 열을 표시하려면 다음을 수행합니다. 1. **설정** 아이콘을 선택합니다. 1. 표시되는 열 목록에서 **인증 기관** 열을 선택합니다. 1. 그런 다음 **확인**을 선택해 변경 사항을 저장합니다. 1. 수정할 인스턴스를 선택합니다. 1. **작업**을 선택한 다음 **수정**을 선택합니다. 1. **인증 기관**에서 이 인스턴스에 대한 새 서버 인증서(`rds-ca-rsa2048-g1`,`rds-ca-rsa4096-g1`, 또는 `rds-ca-ecc384-g1`) 중 하나를 선택합니다. 1. 다음 페이지에서 변경 사항 요약을 볼 수 있습니다. 연결이 중단되지 않도록 인스턴스를 수정하기 전에 애플리케이션이 최신 인증서 CA 번들을 사용하고 있는지 확인하는 추가 알림이 있습니다. 1. 다음 유지 관리 기간 중에 수정 사항을 적용하거나 즉시 적용하도록 선택할 수 있습니다. 1. **Modify instance(인스턴스 수정)**를 선택하여 업데이트를 완료합니다. #### 사용 AWS CLI AWS CLI을 사용하여 기존 Amazon DocumentDB 인스턴스의 이전 서버 인증서를 식별하고 교체하기 위해 다음 단계를 완료하세요. 1. 인스턴스를 즉시 수정하려면 클러스터의 각 인스턴스에 대해 다음 명령을 실행합니다. ``` aws docdb modify-db-instance --db-instance-identifier {{}} --ca-certificate-identifier rds-ca-rsa4096-g1 --apply-immediately ``` 1. 클러스터의 다음 유지 관리 기간 동안 새 CA 인증서를 사용하도록 클러스터의 인스턴스를 수정하려면 클러스터의 각 인스턴스에 대해 다음 명령을 실행합니다. ``` aws docdb modify-db-instance --db-instance-identifier {{}} --ca-certificate-identifier rds-ca-rsa4096-g1 --no-apply-immediately ``` ### 기존 클러스터에 새 인스턴스를 추가하면 어떻게 됩니까? 생성된 모든 새 인스턴스는 이전 서버 인증서를 사용하며, 이전 CA 인증서를 사용하는 TLS 연결이 필요합니다. 2022년 3월 21일 이후에 생성된 모든 새 Amazon DocumentDB 인스턴스는 기본적으로 새 인증서를 사용합니다. ### 클러스터에 인스턴스 대체 또는 장애 조치가 있는 경우 어떻게 됩니까? 클러스터에 인스턴스 대체가 있는 경우, 생성된 새 인스턴스는 인스턴스가 이전에 사용했던 것과 동일한 서버 인증서를 계속 사용합니다. 모든 인스턴스에 대한 서버 인증서를 동시에 업데이트하는 것이 좋습니다. 클러스터에 장애 조치가 발생하면 새로운 기본 서버 인증서가 사용됩니다. ### TLS를 사용하여 클러스터에 연결하지 않는 경우에도 각 인스턴스를 업데이트해야 합니까? Amazon DocumentDB 클러스터 연결에 TLS를 사용하지 않으면, 별도로 필요한 작업이 없습니다. ### TLS를 사용하여 클러스터에 연결하지 않고 나중에 연결할 계획이라면 어떻게 해야 합니까? 2022년 3월 21일 이전에 클러스터를 생성한 경우, 이전 섹션의 [1단계](https://docs.aws.amazon.com/documentdb/latest/developerguide/ca_cert_rotation.html#ca_cert_rotation-pdt-updating_application_step1) 및 [2단계](https://docs.aws.amazon.com/documentdb/latest/developerguide/ca_cert_rotation.html#ca_cert_rotation-pdt-updating_application_step2)를 수행하여 응용프로그램이 업데이트된 CA 번들을 사용하고 있고 각 Amazon DocumentDB 인스턴스가 최신 서버 인증서를 사용하고 있는지 확인합니다. 2022년 3월 21일 이후에 클러스터를 생성한 경우 클러스터에 이미 최신 서버 인증서가 있습니다. 애플리케이션이 최신 CA 번들을 사용하고 있는지 확인하려면 [TLS를 사용하여 클러스터에 연결하지 않는 경우에도 각 인스턴스를 업데이트해야 합니까?](#ca_cert_rotation_pdt-faq_question10) 단원을 참조하십시오. ### 2022년 3월 18일 이후로 기한을 연장할 수 있습니까? 애플리케이션이 TLS를 통해 연결되는 경우, 2022년 5월 18일 이후로 기한을 연장할 수 없습니다. ### 최신 CA 번들을 사용하고 있는지 어떻게 확인할 수 있습니까? 호환성을 위해 이전 CA 번들 파일과 새 CA 번들 파일의 이름이 모두 `us-gov-west-1-bundle.pem`으로 지정됩니다. 또한 `openssl` 또는 `keytool` 같은 도구를 사용하여 CA 번들을 검사할 수도 있습니다. ### CA 번들 이름에 "RDS"가 표시되는 이유는 무엇입니까? 인증서 관리와 같은 일부 관리 기능의 경우 Amazon DocumentDB는 Amazon Relational Database Service(RDS)와 공유되는 운영 기술을 사용합니다. ### 새 인증서는 언제 만료됩니까? 새 서버 인증서는 (일반적으로) 다음과 같이 만료됩니다. + **rds-ca-rsa2048-g1**—2061년 만료 + **rds-ca-rsa4096-g1**—2121년 만료 + **rds-ca-ecc384-g1**—2121년 만료 ### 인증서가 만료되기 전에 조치를 취하지 않으면 어떤 종류의 오류가 발생하나요? 오류 메시지는 드라이버에 따라 달라집니다. 일반적으로 '인증서가 만료되었습니다'라는 문자열이 포함된 인증서 검증 오류가 표시됩니다. ### 새 서버 인증서를 적용한 경우 이전 서버 인증서로 되돌릴 수 있습니까? 인스턴스를 이전 서버 인증서로 되돌려야 하는 경우 클러스터의 모든 인스턴스에 대해 수행하는 것이 좋습니다. AWS Management Console 또는를 사용하여 클러스터의 각 인스턴스에 대한 서버 인증서를 되돌릴 수 있습니다 AWS CLI. #### 사용 AWS Management Console 1. 에 로그인 AWS Management Console하고 [https://console.aws.amazon.com/docdb](https://console.aws.amazon.com/docdb) Amazon DocumentDB 콘솔을 엽니다. 1. 화면 오른쪽 상단의 리전 목록에서 클러스터가 있는 AWS 리전 를 선택합니다. 1. 콘솔 왼쪽의 탐색 창에서 **인스턴스**를 선택합니다. 1. 수정할 인스턴스를 선택합니다. **작업**을 선택한 후 **수정**을 선택합니다. 1. **인증 기관**에서 이전 서버 인증서(`rds-ca-2017`)를 선택할 수 있습니다. 1. 수정 사항의 요약을 보려면 **계속**을 선택합니다. 1. 이 결과 페이지에서 수정 사항이 다음 유지 관리 기간에 적용되도록 예약하거나 수정 사항을 즉시 적용하도록 선택할 수 있습니다. 선택한 다음 **Modify instance(인스턴스 수정)**를 선택합니다. **참고** 수정 사항을 즉시 적용하기로 선택하면 보류 중 수정 사항 대기열에 있는 변경 사항까지 모두 적용됩니다. 보류 중 수정 사항 중 하나라도 가동 중지를 필요로 하는 경우 이 옵션을 선택하면 예기치 못한 가동 중지가 발생할 수 있습니다. #### 사용 AWS CLI ``` aws docdb modify-db-instance --db-instance-identifier {{}} ca-certificate-identifier rds-ca-2017 {{<--apply-immediately | --no-apply-immediately>}} ``` `--no-apply-immediately`를 선택하면, 클러스터의 다음 유지 관리 기간 중에 변경 사항이 적용됩니다. ### 스냅샷이나 특정 시점으로 복구를 통해 복원하는 경우 새 서버 인증서가 사용됩니까? 2022년 3월 21일 이후에 스냅샷을 복원하거나 시점 복원을 수행하면 생성된 새 클러스터에서 새 CA 인증서가 사용됩니다. ### Mac OS X Catalina에서 내 Amazon DocumentDB 클러스터에 직접 연결하는 데 문제가 있으면 어떻게 해야 하나요? Mac OS X Catalina는 신뢰할 수 있는 인증서에 대한 요구 사항을 업데이트했습니다. 신뢰할 수 있는 인증서로 인정받으려면, 이제 유효 기간이 825일 이하여야 합니다 ([https://support.apple.com/en-us/HT210176](https://support.apple.com/en-us/HT210176) 참조). Amazon DocumentDB 인스턴스 인증서는 4년 이상 유효하며 이는 Mac OS X의 최대 유효기간보다 더 깁니다. Mac OS X Catalina를 실행하는 컴퓨터에서 Amazon DocumentDB 클러스터에 직접 연결하려면 TLS 연결을 만들 때 유효하지 않은 인증서를 허용해야 합니다. 이 경우 유효하지 않은 인증서는 유효 기간이 825일보다 길다는 것을 의미합니다. Amazon DocumentDB 클러스터에 연결할 때 유효하지 않은 인증서를 허용하기 전, 어떤 리스크가 따를 수 있는지 이해해야 합니다. 를 사용하여 OS X Catalina에서 Amazon DocumentDB 클러스터에 연결하려면 `tlsAllowInvalidCertificates` 파라미터를 AWS CLI사용합니다. ``` mongo --tls --host --username --password --port 27017 --tlsAllowInvalidCertificates ```