輪換您的 SSL/TLS 憑證 - Amazon Aurora
輪換憑證的考量透過修改資料庫執行個體來更新您的 CA 憑證透過套用維護來更新憑證授權機構憑證伺服器憑證輪換匯入憑證的範例指令碼

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

輪換您的 SSL/TLS 憑證

Amazon RDS Certificate Authority 憑證 rds-ca-2019 已於 2024 年 8 月過期。如果您使用或計劃使用 Secure Sockets Layer （SSL） 或 Transport Layer Security （TLS） RDS 搭配憑證驗證來連線至資料庫執行個體，請考慮使用其中一個新的 CA 憑證 rds-ca-rsa2048-g1， rds-ca-rsa4096-g1 或 rds-ca-ecc384-g1。如果您目前沒有將 SSL/TLS 與憑證驗證搭配使用，您可能仍有過期的 CA 憑證，而且如果您打算使用 SSL/TLS 與憑證驗證來連線至RDS資料庫，則必須將其更新為新的 CA 憑證。

Amazon RDS提供新的 CA 憑證做為 AWS 安全最佳實務。如需有關新憑證和支援 AWS 區域的資訊，請參閱 使用 SSL/TLS 加密與資料庫叢集的連線。

若要更新資料庫的 CA 憑證，請使用下列方法：

在您更新資料庫執行個體以使用新的 CA 憑證之前，請務必更新連線至RDS資料庫的用戶端或應用程式。

輪換憑證的考量

在輪換憑證之前，請考慮下列情況：

  • Amazon RDS Proxy 和 Aurora Serverless v1 使用 來自 AWS Certificate Manager （） 的憑證ACM。如果您使用 RDS Proxy，當您輪換 SSL/TLS 憑證時，不需要更新使用 RDS Proxy 連線的應用程式。如需詳細資訊，請參閱使用TLS/SSL與RDS代理。

  • 如果您使用的是 Aurora Serverless v1，不需要下載 Amazon RDS憑證。如需詳細資訊，請參閱使用TLS/SSL搭配 Aurora Serverless v1。

  • 如果您在 2020 年 7 月 28 日之前將 Go 1.15 版應用程式與建立或更新至 rds-ca-2019 憑證的資料庫執行個體搭配使用，則必須再次更新憑證。rds-ca-rsa根據您的引擎 2048-g1， rds-ca-rsa4096-g1 或 rds-ca-ecc384 更新憑證。

    使用新的 CA 憑證識別符，將 modify-db-instance命令用於資料庫執行個體，或將 命令用於多可用區域資料庫叢集 。 您可以使用 describe-db-engine-versions命令，找到特定資料庫引擎和資料庫引擎版本的CAs可用 。

    如果您在 2020 年 7 月 28 日之後建立資料庫或更新其憑證，則不需要採取任何動作。如需詳細資訊，請參閱 Go GitHub issue #39568。

透過修改資料庫執行個體來更新您的 CA 憑證

下列範例會將您的 CA 憑證從 rds-ca-2019 更新至 rds-ca-rsa2048-g1。您可以選擇不同的憑證。如需詳細資訊，請參閱 憑證授權單位。

更新您的應用程式信任存放區，以減少與更新 CA 憑證相關聯的任何停機時間。如需與 CA 憑證輪換相關聯的重新啟動的詳細資訊，請參閱 自動伺服器憑證輪換。

若要透過修改資料庫執行個體來更新 CA 憑證

  1. 下載新的 SSL/TLS 憑證，如 中所述使用 SSL/TLS 加密與資料庫叢集的連線。

  2. 更新您的應用程式以使用新的 SSL/TLS 憑證。

    更新新 SSL/TLS 憑證應用程式的方法取決於您的特定應用程式。與您的應用程式開發人員合作，更新應用程式的 SSL/TLS 憑證。

    如需檢查 SSL/TLS 連線並更新每個資料庫引擎應用程式的相關資訊，請參閱下列主題：

    關於為 Linux 作業系統更新信任存放區的範例指令碼，請參閱將憑證匯入信任存放區的範例指令碼。

    注意

    憑證套件同時包含舊 CA 和新 CA 的憑證，讓您可以安全地更新應用程式，並在轉換期間維護連線。如果您使用 AWS Database Migration Service 將資料庫遷移至資料庫叢集 ，我們建議您使用憑證套件，以確保遷移期間的連線。

  3. 修改資料庫執行個體，將 CA 從 rds-ca-2019 變更為 rds-ca-rsa2048-g1。若要檢查您的資料庫是否需要重新啟動來更新 CA 憑證，請使用 describe-db-engine-versions命令並檢查SupportsCertificateRotationWithoutRestart旗標。

    注意

    修改以更新 CA 憑證後重新啟動 Babelfish 叢集。

    重要

    如果您在憑證到期後發生連線問題，請在主控台中指定 Apply immediately (立即套用)，或使用 --apply-immediately 來指定 AWS CLI選項。依預設，此操作排定在下一個維護時段執行。

    若要為叢集 CA 設定與預設 RDS CA 不同的覆寫，請使用 modify-certificates CLI命令。

您可以使用 AWS Management Console 或 AWS CLI ，將資料庫執行個體 的 CA 憑證從 rds-ca-2019 變更為 rds-ca-rsa2048-g1。

Console

  1. 登入 AWS Management Console 並在 開啟 Amazon RDS主控台https://console.aws.amazon.com/rds/。

  2. 在導覽窗格中，選擇資料庫 ，然後選擇您要修改的資料庫執行個體。

  3. 選擇 Modify (修改)。

    修改資料庫執行個體

  4. 在連線區段中，選擇 rds-ca-rsa2048-g1。

    選擇 CA 憑證

  5. 選擇 Continue (繼續)，並檢查修改的摘要。

  6. 若要立即套用變更，請選擇 Apply immediately (立即套用)。

  7. 在確認頁面上，檢閱您的變更。如果正確，請選擇修改資料庫執行個體以儲存您的變更。

    重要

    排定此操作時，請確定您事先已更新用戶端信任存放區。

    或者，選擇 Back (上一步) 以編輯變更，或是選擇 Cancel (取消) 以取消變更。

AWS CLI

若要使用 AWS CLI 將資料庫執行個體或多可用區域資料庫叢集 的 CA 從 rds-ca-2019 變更為 rds-ca-rsa2048-g1，請呼叫 modify-db-instance或 modify-db-cluster命令。 指定資料庫執行個體識別符和 --ca-certificate-identifier選項。

使用 --apply-immediately 參數立即套用更新。依預設，此操作排定在下一個維護時段執行。

重要

排定此操作時，請確定您事先已更新用戶端信任存放區。

下列範例mydbinstance透過將 CA 憑證設定為 進行修改rds-ca-rsa2048-g1。

用於 Linux, macOS，或 Unix:

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --ca-certificate-identifier rds-ca-rsa2048-g1

用於 Windows:

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --ca-certificate-identifier rds-ca-rsa2048-g1
注意

如果您的執行個體需要重新啟動，您可以使用 modify-db-instanceCLI命令並指定 --no-certificate-rotation-restart選項。

透過套用維護來更新憑證授權機構憑證

執行下列步驟，透過套用維護來更新 CA 憑證。

Console
套用維護來更新您的 CA 憑證

  1. 登入 AWS Management Console 並在 開啟 Amazon RDS主控台https://console.aws.amazon.com/rds/。

  2. 在導覽窗格中，選擇憑證更新 。

    憑證輪換導覽窗格選項

    需要更新憑證的資料庫頁面隨即顯示。

    更新資料庫的 CA 憑證
    注意

    此頁面僅顯示目前 的資料庫執行個體 AWS 區域。如果您在多個 中有資料庫 AWS 區域，請檢查每個 中的此頁面 AWS 區域 ，以查看具有舊 SSL/TLS 憑證的所有資料庫執行個體。

  3. 選擇您要更新的資料庫執行個體。

    您可以選擇排程，以排定下一個維護時段的憑證輪換。您可以選擇立即套用以立即套用輪換。

    重要

    如果在憑證到期後發生連線問題，請使用立即套用選項。

    1. 如果您選擇排程，系統會提示您確認 CA 憑證輪換。此提示也會指出排定的更新時段。

      確認憑證輪換

    2. 如果您選擇立即套用，系統會提示您確認 CA 憑證輪換。

      確認憑證輪換
    重要

    在資料庫上排定 CA 憑證輪換之前，請更新任何使用 SSL/TLS 和伺服器憑證進行連線的用戶端應用程式。這些更新專屬於您的資料庫引擎。更新這些用戶端應用程式之後，您可以確認 CA 憑證輪換。

    若要繼續，請選擇核取方塊，然後選擇 Confirm (確認)。

  5. 針對您要更新的每個資料庫執行個體重複步驟 3 和 4。

自動伺服器憑證輪換

如果您的根 CA 支援自動伺服器憑證輪換， RDS會自動處理資料庫伺服器憑證輪換。RDS 此自動輪換使用相同的根 CA，因此您不需要下載新的 CA 套件。請參閱 憑證授權單位。

資料庫伺服器憑證的輪換和有效期取決於資料庫引擎：

  • 如果您的資料庫引擎支援不重新啟動的輪換， RDS會自動輪換資料庫伺服器憑證，而不需要您採取任何動作。RDS 會嘗試在資料庫伺服器憑證的半衰期內，輪換您偏好的維護時段中的資料庫伺服器憑證。新的資料庫伺服器憑證有效期為 12 個月。

  • 如果您的資料庫引擎不支援在未重新啟動的情況下輪換， 會在資料庫伺服器憑證過期前至少 6 個月RDS通知您維護事件。新的資料庫伺服器憑證有效期為 36 個月。

使用 describe-db-engine-versions命令並檢查SupportsCertificateRotationWithoutRestart旗標，以識別資料庫引擎版本是否支援在不重新啟動的情況下輪換憑證。如需詳細資訊，請參閱設定資料庫的 CA。

將憑證匯入信任存放區的範例指令碼

以下是範例 Shell 指令碼，會將憑證套件匯入信任存放區。

每個範例 Shell 指令碼都使用 Keytool，這是 Java 開發套件 （） 的一部分JDK。如需安裝 的相關資訊JDK，請參閱JDK安裝指南 。

Linux

以下範例 Shell 指令碼將憑證套件匯入 Linux 作業系統上的信任存放區。


mydir=tmp/certs
if [ ! -e "${mydir}" ]
then
mkdir -p "${mydir}"
fi

truststore=${mydir}/rds-truststore.jks
storepassword=changeit

curl -sS "https://truststore.pki.rds.amazonaws.com/global/global-bundle.pem" > ${mydir}/global-bundle.pem
awk 'split_after == 1 {n++;split_after=0} /-----END CERTIFICATE-----/ {split_after=1}{print > "rds-ca-" n+1 ".pem"}' < ${mydir}/global-bundle.pem

for CERT in rds-ca-*; do
  alias=$(openssl x509 -noout -text -in $CERT | perl -ne 'next unless /Subject:/; s/.*(CN=|CN = )//; print')
  echo "Importing $alias"
  keytool -import -file ${CERT} -alias "${alias}" -storepass ${storepassword} -keystore ${truststore} -noprompt
  rm $CERT
done

rm ${mydir}/global-bundle.pem

echo "Trust store content is: "

keytool -list -v -keystore "$truststore" -storepass ${storepassword} | grep Alias | cut -d " " -f3- | while read alias 
do
   expiry=`keytool -list -v -keystore "$truststore" -storepass ${storepassword} -alias "${alias}" | grep Valid | perl -ne 'if(/until: (.*?)\n/) { print "$1\n"; }'`
   echo " Certificate ${alias} expires in '$expiry'" 
done
macOS

以下是範例 Shell 指令碼，會將憑證套件匯入 macOS 上的信任存放區。


mydir=tmp/certs
if [ ! -e "${mydir}" ]
then
mkdir -p "${mydir}"
fi

truststore=${mydir}/rds-truststore.jks
storepassword=changeit

curl -sS "https://truststore.pki.rds.amazonaws.com/global/global-bundle.pem" > ${mydir}/global-bundle.pem
split -p "-----BEGIN CERTIFICATE-----" ${mydir}/global-bundle.pem rds-ca-

for CERT in rds-ca-*; do
  alias=$(openssl x509 -noout -text -in $CERT | perl -ne 'next unless /Subject:/; s/.*(CN=|CN = )//; print')
  echo "Importing $alias"
  keytool -import -file ${CERT} -alias "${alias}" -storepass ${storepassword} -keystore ${truststore} -noprompt
  rm $CERT
done

rm ${mydir}/global-bundle.pem

echo "Trust store content is: "

keytool -list -v -keystore "$truststore" -storepass ${storepassword} | grep Alias | cut -d " " -f3- | while read alias 
do
   expiry=`keytool -list -v -keystore "$truststore" -storepass ${storepassword} -alias "${alias}" | grep Valid | perl -ne 'if(/until: (.*?)\n/) { print "$1\n"; }'`
   echo " Certificate ${alias} expires in '$expiry'" 
done

若要進一步了解搭配 SSL Amazon 使用 的最佳實務RDS，請參閱成功SSL連線至 Amazon RDS for Oracle 的最佳實務。