Come posso aggiornare i certificati SSL/TLS per i database Amazon RDS e Aurora in modo da creare connessioni sicure?

Risoluzione

Identifica il certificato SSL/TLS corrente

Completa i seguenti passaggi:

1. Apri la console Aurora e RDS.
2. Nel pannello di navigazione, scegli Database, quindi seleziona il database Amazon RDS o Aurora.
3. In Connettività e sicurezza, consulta la sezione Sicurezza per l'autorità di certificazione (CA) utilizzata dal database.

Nota: per l'elenco delle CA che puoi utilizzare con i database Amazon RDS e Aurora, consulta Autorità di certificazione.

Aggiorna il certificato SSL/TLS

Completa i seguenti passaggi:

1. Apri la console Aurora e RDS.
2. Nel pannello di navigazione, scegli Database, quindi seleziona il database Amazon RDS o Aurora.
3. Scegli Modifica.
4. In Connettività, scegli Autorità di certificazione.
5. In Autorità di certificazione, scegli Continua, quindi rivedi le modifiche.
6. Per i motori di database che supportano la rotazione dei certificati senza riavvio, scegli Applica immediatamente.
   Nota: se non scegli Applica immediatamente, le modifiche vengono applicate durante la successiva finestra di manutenzione.
   Per i motori di database che richiedono un riavvio, in Pianificazione delle modifiche, scegli Durante la prossima finestra di manutenzione programmata.
7. Scegli Modifica istanza database.

Applica le connessioni SSL/TLS

Per applicare le connessioni SSL/TLS per Amazon RDS e Aurora compatibile con MySQL, completa i seguenti passaggi:

1. Crea un gruppo di parametri personalizzati o utilizza un gruppo di parametri esistente per l'istanza database.
   In alternativa, crea un gruppo di parametri cluster personalizzati o utilizza un gruppo di parametri cluster esistente per il cluster di database.
2. Nel gruppo di parametri personalizzati, imposta il parametro require_secure_transport su ON. Questo parametro è dinamico e ha effetto immediato senza riavvio.

Dopo aver attivato il parametro require_secure_transport, devi utilizzare le CA quando stabilisci connessioni all'istanza o al cluster del database. Per ulteriori informazioni, consulta Scarica i pacchetti di certificati per Amazon RDS.

Per informazioni sull'aggiornamento delle applicazioni per i certificati SSL/TLS, consulta la seguente documentazione AWS:

• Aggiornamento delle applicazioni per la connessione a istanze database MySQL utilizzando nuovi certificati SSL/TLS
• Aggiornamento delle applicazioni per connettersi alle istanze di MariadB utilizzando nuovi certificati SSL/TLS
• Aggiornamento delle applicazioni per la connessione alle istanze database PostgreSQL utilizzando nuovi certificati SSL/TLS
• Aggiornamento delle applicazioni per la connessione alle istanze database di Microsoft SQL Server utilizzando nuovi certificati SSL/TLS
• Aggiornamento delle applicazioni per la connessione alle istanze database di Oracle utilizzando nuovi certificati SSL/TLS

Nota: quando utilizzi la modalità SSL preferita e la CA non esiste o non è aggiornata, la connessione avviene senza crittografia. Non è consigliabile utilizzare la modalità preferita.

Se non riesci a stabilire una connessione crittografata, potresti ricevere il seguente messaggio di errore:

"MySQL Error 3159 (HY000): Connections using insecure transport are prohibited while —require_secure_transport=ON."

Per risolverlo, esegui questo comando:

mysql -h yourEndpoint -P 3306 -u yourUserName -pYourPassword --ssl-ca=full_path_to_CA_certificate

Nota: sostituisci gli esempi di valore con i tuoi valori.

Aggiorna i trust store delle applicazioni

Dopo aver ruotato il certificato nell'istanza database, devi aggiornare i trust store con la nuova CA.

Nota: i passaggi per aggiornare i trust store possono variare a seconda del certificato.

Nella console Aurora e RDS, il certificato SSL/TLS contiene una Data autorità di certificazione e Data di scadenza del certificato dell'istanza database. La Data autorità certificazione è la data di scadenza della CA root. La Data di scadenza del certificato dell'istanza database è la data di scadenza del certificato nell'istanza. RDS gestisce automaticamente la rotazione del certificato del server di database e utilizza la stessa CA root per la rotazione. Non hai necessità di scaricare un nuovo pacchetto di CA.

Informazioni correlate

Crittografia delle risorse Amazon RDS

Aggiorna la versione del certificato CA per il tuo database Amazon Lightsail

Utilizzo di SSL/TLS con un'istanza database Amazon RDS per Db2