¿Cómo actualizo los certificados SSL/TLS de las bases de datos de Amazon RDS y Aurora para crear conexiones seguras?

Resolución

Identificación del certificado SSL/TLS actual

Sigue estos pasos:

1. Abre la consola de Aurora y RDS.
2. En el panel de navegación, elige Databases (Bases de datos) y, a continuación, selecciona tu base de datos de Amazon RDS o Aurora.
3. En Connectivity & security (Conectividad y seguridad), consulta la sección Security (Seguridad) para ver la autoridad de certificación (CA) que utiliza la base de datos.

Nota: Para ver la lista de las CA que puedes usar con las bases de datos de Amazon RDS y Aurora, consulta Entidades de certificación.

Actualización del certificado SSL/TLS

Sigue estos pasos:

1. Abre la consola de Aurora y RDS.
2. En el panel de navegación, elige Databases (Bases de datos) y, a continuación, selecciona tu base de datos de Amazon RDS o Aurora.
3. Selecciona Modify (Modificar).
4. En Connectivity (Conectividad), elige Certificate authority (Entidad de certificación).
5. En Certificate authority (Entidad de certificación), elige Continue (Continuar) y, a continuación, revisa las modificaciones.
6. Para los motores de bases de datos que admiten la rotación de certificados sin reiniciar, elige Apply immediately (Aplicar inmediatamente).
   Nota: Si no eliges Apply inmediately (Aplicar inmediatamente), los cambios se aplicarán durante el siguiente periodo de mantenimiento.
   Para los motores de bases de datos que requieren un reinicio, en Scheduling of modifications (Programación de modificaciones), selecciona Apply during the next scheduled maintenance window (Aplicar durante el siguiente periodo de mantenimiento programado).
7. Elige Modify DB instance (Modificar la instancia de base de datos).

Aplicación de conexiones SSL/TLS

Para aplicar conexiones SSL/TLS para Amazon RDS y la edición de Aurora compatible con MySQL, sigue estos pasos:

1. Crea un grupo de parámetros personalizado o utiliza un grupo de parámetros existente para la instancia de base de datos.
   También puedes crear un grupo de parámetros de clúster personalizado o utilizar un grupo de parámetros de clúster existente para tu clúster de base de datos.
2. En el grupo de parámetros personalizados, define el parámetro require_secure_transport en ON. Este parámetro es dinámico y se aplica inmediatamente sin necesidad de reiniciar.

Después de activar el parámetro require_secure_transport, debes usar las CA al establecer conexiones a la instancia de base de datos o al clúster. Para obtener más información, consulta Descarga de agrupaciones de certificados para Amazon RDS.

Para obtener información sobre cómo actualizar las aplicaciones para los certificados SSL/TLS, consulta la siguiente documentación de AWS:

• Actualización de aplicaciones para la conexión a las instancias de base de datos de MySQL con los nuevos certificados SSL/TLS
• Actualización de aplicaciones para la conexión a las instancias de MariaDB con los nuevos certificados SSL/TLS
• Actualización de aplicaciones para la conexión a las instancias de base de datos de PostgreSQL con los nuevos certificados SSL/TLS
• Actualización de aplicaciones para la conexión a las instancias de base de datos de Microsoft SQL Server con los nuevos certificados SSL/TLS
• Actualización de aplicaciones para la conexión a las instancias de base de datos de Oracle con los nuevos certificados SSL/TLS

Nota: Cuando utilizas el modo SSL preferred y la CA no existe o no está actualizada, la conexión se conecta sin cifrado. No se recomienda usar el modo preferred.

Si no puedes establecer una conexión cifrada, es posible que recibas el siguiente mensaje de error:

"MySQL Error 3159 (HY000): Connections using insecure transport are prohibited while —require_secure_transport=ON."

Para resolver este problema, ejecuta el siguiente comando:

mysql -h yourEndpoint -P 3306 -u yourUserName -pYourPassword --ssl-ca=full_path_to_CA_certificate

Nota: Sustituye los valores del ejemplo por tus valores.

Actualización de los almacenes de confianza de aplicaciones

Después de rotar el certificado en la instancia de base de datos, debes actualizar los almacenes de confianza con la nueva CA.

Nota: Los pasos para actualizar los almacenes de confianza pueden variar según el certificado.

En la consola de Aurora y RDS, el certificado SSL/TLS contiene una fecha de la entidad de certificación y una fecha de expiración del certificado de instancia de base de datos. La fecha de la entidad de certificación es la fecha de vencimiento de la CA raíz. La fecha de expiración del certificado de instancia de base de datos es la fecha de vencimiento del certificado de la instancia. RDS gestiona automáticamente la rotación del certificado del servidor de base de datos y utiliza la misma CA raíz para la rotación. No es necesario descargar un nuevo paquete de CA.

Información relacionada

Cifrado de recursos de Amazon RDS

Actualice la versión del certificado de CA para su base de datos de Amazon Lightsail

Uso de SSL con una instancia de base de datos de Amazon RDS para Db2