本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon Aurora Postgre 的安全性SQL

如需有關 Aurora 安全性的一般概觀，請參閱 Aurora 的安全。您可以在幾個不同層級管理 Amazon Aurora PostgreSQL 的安全性：

所有可用的 Aurora PostgreSQL 版本，包括版本 10、11、12、13、14 和更新版本，都支援密碼的 Salted Challenge Response Authentication Mechanism （SCRAM） 作為訊息摘要 （） 的替代方案MD5。我們建議您使用 ，SCRAM因為它比 更安全MD5。如需詳細資訊，包括如何將資料庫使用者密碼從 遷移MD5至 SCRAM，請參閱 使SCRAM用後SQL密碼加密。

使用 SSL/ 保護 Aurora PostgreSQL 資料TLS

Amazon RDS支援 Aurora PostgreSQL 資料庫叢集的安全通訊端層 （SSL） 和傳輸層安全 （TLS） 加密。您可以使用 SSL/TLS，加密應用程式與 Aurora PostgreSQL 資料庫叢集之間的連線。您也可以強制 Aurora PostgreSQL 資料庫叢集的所有連線使用 SSL/TLS。Amazon Aurora PostgreSQL 支援 Transport Layer Security （TLS） 1.1 和 1.2 版。建議使用 TLS 1.2 進行加密連線。我們已從下列 Aurora Postgre 版本新增對 TLSv1.3 的支援SQL：

如需 SSL/TLS 支援和 PostgreSQL 資料庫的一般資訊，請參閱 PostgreSQL 文件中的SSL支援。如需透過 使用 SSL/TLS 連線的相關資訊JDBC，請參閱 PostgreSQL 文件中的設定用戶端。

SSL/TLS 支援適用於所有 Aurora Postgre AWS 的區域SQL。RDS 建立資料庫叢集時，Amazon 會為您的 Aurora PostgreSQL 資料庫叢集建立 SSL/TLS 憑證。如果您啟用 SSL/TLS 憑證驗證，則 SSL/TLS 憑證會將資料庫叢集端點納入 SSL/TLS 憑證的通用名稱 （CN），以防止詐騙攻擊。

以下是使用 psql 連線到 Aurora PostgreSQL 資料庫叢集的範例。

$ psql -h testpg.cdhmuqifdpib.us-east-1.rds.amazonaws.com -p 5432 \
    "dbname=testpg user=testuser sslrootcert=rds-ca-2015-root.pem sslmode=verify-full"

需要 SSL/TLS 連線至 Aurora PostgreSQL 資料庫叢集

您可以使用 rds.force_ssl 參數，要求與 Aurora PostgreSQL 資料庫叢集的連線使用 SSL/TLS。依預設，rds.force_ssl 參數會設為 0 (關閉)。您可以將 rds.force_ssl 參數設定為 1 （開啟），以要求 SSL/TLS 用於與資料庫叢集的連線。更新 rds.force_ssl 參數也會將 PostgreSQL ssl 參數設定為 1 （開啟），並修改資料庫叢集pg_hba.conf的檔案以支援新的 SSL/TLS 組態。

您可以更新資料庫叢集的資料庫叢集參數群組，以設定 rds.force_ssl 參數值。如果資料庫叢集參數群組不是預設參數群組，且當您將 ssl 設為 1 時，rds.force_ssl 參數已設為 1，則您不需要重新啟動資料庫叢集。否則，您必須重新啟動資料庫叢集，變更才會生效。如需參數群組的詳細資訊，請參閱Amazon Aurora 的參數組 RDS。

當資料庫叢集的 rds.force_ssl 參數設定為 1 時，您會在連線時看到類似下列的輸出，表示現在需要 SSL/TLS：

$ psql postgres -h SOMEHOST.amazonaws.com -p 8192 -U someuser
psql (9.3.12, server 9.4.4)
WARNING: psql major version 9.3, server major version 9.4.
Some psql features might not work.
SSL connection (cipher: DHE-RSA-AES256-SHA, bits: 256)
Type "help" for help.

postgres=>                    
                

判斷 SSL/TLS 連線狀態

當您連接至資料庫叢集時，登入橫幅中會顯示連線的加密狀態。

Password for user master: 
psql (9.3.12) 
SSL connection (cipher: DHE-RSA-AES256-SHA, bits: 256) 
Type "help" for help.   

postgres=> 

您也可以載入sslinfo擴充功能，然後呼叫 ssl_is_used()函數，以判斷是否正在使用 SSL/TLS。t 如果連線使用 SSL/，則函數會傳回 TLS，否則會傳回 f。

postgres=> create extension sslinfo;
CREATE EXTENSION

postgres=> select ssl_is_used();
 ssl_is_used
---------
t
(1 row) 

您可以使用 select ssl_cipher()命令來判斷 SSL/TLS 密碼：

postgres=> select ssl_cipher();
ssl_cipher
--------------------
DHE-RSA-AES256-SHA
(1 row)
                

如果您啟用set rds.force_ssl並重新啟動資料庫叢集，則系統會以下列訊息拒絕非SSL連線：

$ export PGSSLMODE=disable
$ psql postgres -h SOMEHOST.amazonaws.com -p 8192 -U someuser
psql: FATAL: no pg_hba.conf entry for host "host.ip", user "someuser", database "postgres", SSL off
$

如需 sslmode選項的相關資訊，請參閱 PostgreSQL 文件中的資料庫連線控制函數。

設定用於連線至 Aurora PostgreSQL 資料庫叢集的密碼套件

透過使用可設定的密碼套件，您可以更進一步控制資料庫連線的安全性。您可以指定要允許 加密套件的清單，以保護資料庫的用戶端SSL/TLS連線。您可以使用可設定的密碼套件來控制資料庫伺服器接受的連線加密。這樣做有助於避免使用不安全或已作廢的密碼。

Aurora PostgreSQL 11.8 版及更新版本支援可設定的密碼套件。

要指定用於加密連線的許可密碼列表，請修改 ssl_ciphers 叢集參數。使用 AWS Management Console、 AWS CLI或 將 ssl_ciphers 參數設定為叢集參數群組中逗號分隔密碼值的字串RDSAPI。要設定叢集參數，請參閱 在 Amazon Aurora 中修改資料庫叢集參數群組中的參數。

下表顯示有效 Aurora PostgreSQL 引擎版本的支援密碼。

您也可以使用 describe-engine-default-cluster-parameters CLI命令來判斷特定參數群組系列目前支援哪些密碼套件。下列範例顯示如何取得 Aurora PostgreSQL 11 ssl_cipher叢集參數的允許值。

aws rds describe-engine-default-cluster-parameters --db-parameter-group-family aurora-postgresql11
                
    ...some output truncated...
	{
		"ParameterName": "ssl_ciphers",
		"Description": "Sets the list of allowed TLS ciphers to be used on secure connections.",
		"Source": "engine-default",
		"ApplyType": "dynamic",
		"DataType": "list",
		"AllowedValues": "DHE-RSA-AES128-SHA,DHE-RSA-AES128-SHA256,DHE-RSA-AES128-GCM-SHA256,DHE-RSA-AES256-SHA,DHE-RSA-AES256-SHA256,DHE-RSA-AES256-GCM-SHA384,
		ECDHE-RSA-AES128-SHA,ECDHE-RSA-AES128-SHA256,ECDHE-RSA-AES128-GCM-SHA256,ECDHE-RSA-AES256-SHA,ECDHE-RSA-AES256-SHA384,ECDHE-RSA-AES256-GCM-SHA384,TLS_RSA_WITH_AES_256_GCM_SHA384,
		TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,
		TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA",
		"IsModifiable": true,
		"MinimumEngineVersion": "11.8",
		"SupportedEngineModes": [
			"provisioned"
		]
	},
    ...some output truncated...

ssl_ciphers 參數預設為所有允許的密碼套件。如需密碼的詳細資訊，請參閱 PostgreSQL 文件中的 ssl_ciphers 變數。