Comment mettre à jour les certificats SSL/TLS pour les bases de données Amazon RDS et Aurora afin de créer des connexions sécurisées ?

Résolution

Identifier le certificat SSL/TLS actuel

Procédez comme suit :

1. Ouvrez la console Amazon RDS.
2. Dans le volet de navigation, choisissez Bases de données, puis sélectionnez votre base de données Amazon RDS ou Aurora.
3. Sous Connectivité et sécurité, consultez la section Sécurité pour l'autorité de certification (CA) utilisée par la base de données.

Remarque : Pour obtenir la liste des autorités de certification que vous pouvez utiliser avec les bases de données Amazon RDS et Aurora, consultez la section Autorités de certification.

Mettre à jour le certificat SSL/TLS

Procédez comme suit :

1. Ouvrez la console Amazon RDS.
2. Dans le volet de navigation, choisissez Bases de données, puis sélectionnez votre base de données Amazon RDS ou Aurora.
3. Sélectionnez Modifier.
4. Sous Connectivité, choisissez Autorité de certification.
5. Sous Autorité de certification, choisissez Continuer, puis passez en revue les modifications.
6. Pour les moteurs de base de données qui prennent en charge la rotation des certificats sans redémarrage, choisissez Appliquer immédiatement.
   Remarque : Si vous ne choisissez pas ** Appliquer immédiatement**, les modifications s'appliqueront lors de la prochaine fenêtre de maintenance.
   Pour les moteurs de base de données qui nécessitent un redémarrage, sous Planification des modifications, sélectionnez Appliquer lors de la prochaine fenêtre de maintenance planifiée.
7. Sélectionnez Modifier l'instance de base de données.

Appliquer les connexions SSL/TLS

Pour appliquer les connexions SSL/TLS pour Amazon RDS et Aurora édition compatible avec MySQL, procédez comme suit :

1. Créez un groupe de paramètres personnalisé ou utilisez un groupe de paramètres existant pour votre instance de base de données.
   Vous pouvez également créer un groupe de paramètres de cluster personnalisé ou utiliser un groupe de paramètres de cluster existant pour votre cluster de bases de données.
2. Dans le groupe de paramètres personnalisés, définissez le paramètre require_secure_transport sur ON. Ce paramètre est dynamique et prend effet immédiatement sans redémarrage.

Après avoir activé le paramètre require_secure_transport, vous devez utiliser des autorités de certification lorsque vous établissez des connexions à l'instance de base de données ou au cluster. Pour plus d'informations, consultez la section Télécharger des ensembles de certificats pour Amazon RDS.

Pour plus d'informations sur la mise à jour des applications pour les certificats SSL/TLS, consultez la documentation AWS suivante :

• Mise à jour des applications pour se connecter aux instances de base de données MySQL à l'aide de nouveaux certificats SSL/TLS
• Mise à jour des applications pour se connecter aux instances de base de données MariaDB à l'aide de nouveaux certificats SSL/TLS
• Mise à jour des applications pour se connecter aux instances de base de données PostgreSQL à l'aide de nouveaux certificats SSL/TLS
• Mise à jour des applications pour se connecter aux instances de base de données Microsoft SQL Server à l'aide de nouveaux certificats SSL/TLS
• Mise à jour des applications pour se connecter aux instances de base de données Oracle à l'aide de nouveaux certificats SSL/TLS

Remarque : Lorsque vous utilisez le mode SSL préféré et que l'autorité de certification n'existe pas ou n'est pas à jour, la connexion se connecte sans chiffrement. Il n'est pas recommandé d'utiliser le mode préféré.

Si vous ne parvenez pas à établir une connexion chiffrée, le message d'erreur suivant peut s'afficher :

« MySQL Error 3159 (HY000): Connections using insecure transport are prohibited while —require_secure_transport=ON. »

Pour résoudre ce problème, exécutez la commande suivante :

mysql -h yourEndpoint -P 3306 -u yourUserName -pYourPassword --ssl-ca=full_path_to_CA_certificate

Remarque : Remplacez les exemples de valeurs par vos valeurs.

Mettre à jour les magasins de confiance d’application

Après avoir effectué une rotation du certificat sur l'instance de base de données, vous devez mettre à jour les magasins de confiance avec la nouvelle autorité de certification.

Remarque : Les étapes de mise à jour des magasins de confiance peuvent varier en fonction du certificat.

Sur la console Amazon RDS, le certificat SSL/TLS contient une date d'autorité de certification et une date d'expiration du certificat d’instance de base de données. La date de l'autorité de certification est la date d'expiration de l'autorité de certification racine. La date d'expiration du certificat d'instance de base de données est la date d'expiration du certificat de l'instance. RDS gère automatiquement la rotation du certificat du serveur de base de données et utilise la même autorité de certification racine pour la rotation. Il n'est pas nécessaire de télécharger un nouveau bundle CA.

Informations connexes

Chiffrement des ressources Amazon RDS

Mettre à jour la version du certificat CA pour votre base de données Amazon Lightsail

Utilisation de SSL/TLS avec une instance de base de données Amazon RDS pour Db2