Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden SSL/TLS um eine Verbindung zu einer DB zu verschlüsseln Cluster

Sie können Secure Socket Layer (SSL) oder Transport Layer Security (TLS) aus Ihrer Anwendung verwenden, um eine Verbindung zu einem DB-Cluster zu verschlüsseln, der mit Aurora MySQL oder Aurora PostgreSQL läuft.

SSL/TLS Verbindungen bieten eine Sicherheitsebene, indem sie Daten verschlüsseln, die zwischen Ihrem Client und der Datenbank übertragen werden Cluster. Wahlweise Ihr SSL/TLS Eine Verbindung kann die Serveridentität überprüfen, indem das in Ihrer Datenbank installierte Serverzertifikat validiert wird. Gehen Sie wie folgt vor, um eine Überprüfung der Serveridentität vorzuschreiben:

Zertifizierungsstellen

Die Zertifizierungsstelle (CA) ist das Zertifikat, das die Stamm-CA an der Spitze der Zertifikatskette identifiziert. Die CA signiert das DB-Serverzertifikat. Dies ist das Serverzertifikat, das auf jeder DB-Instance installiert ist. Das DB-Serverzertifikat identifiziert die DB-Instance als vertrauenswürdigen Server.

Amazon RDS stellt die folgenden CAs bereit, um das DB-Serverzertifikat für eine Datenbank zu signieren.

Diese CA-Zertifikate sind im regionalen und globalen Zertifikatpakets enthalten. Wenn Sie die CA rds-ca-rsa2048-g1, rds-ca-rsa4096-g1 oder rds-ca-ecc384-g1 mit einer Datenbank verwenden, verwaltet RDS das DB-Serverzertifikat in der Datenbank. RDS rotiert das DB-Serverzertifikat automatisch, bevor es abläuft.

Einstellung der CA für Ihre Datenbank

Sie können die CA für eine Datenbank einstellen, wenn Sie die folgenden Aufgaben ausführen:

Die verfügbaren CAs hängen von der DB-Engine und der DB-Engine-Version ab. Wenn du den benutzt AWS-Managementkonsole, Sie können die CA mit dem auswählen Zertifizierungsstelle Einstellung, wie in der folgenden Abbildung gezeigt.

Die Konsole zeigt nur die CAs an, die für die DB-Engine und die DB-Engine-Version verfügbar sind. Wenn Sie das verwenden AWS CLI, können Sie die CA für eine DB-Instance mit dem einrichten create-db-instance oder db-instance modifizieren Befehl.

Wenn Sie den verwenden AWS CLI, Sie können die verfügbaren CAs für Ihr Konto sehen, indem Sie das Beschreiben-Zertifikate Befehl. Dieser Befehl zeigt in der Ausgabe auch das Ablaufdatum für jede CA in ValidTill an. Mit dem Befehl describe-db-engine-versions finden Sie die CAs, die für eine bestimmte DB-Engine und DB-Engine-Version verfügbar sind.

Das folgende Beispiel zeigt die CAs, die für die DB-Engine-Standardversion von RDS für PostgreSQL verfügbar sind.

aws rds describe-db-engine-versions --default-only --engine postgres

Ihre Ausgabe sieht Folgendem ähnlich. Die verfügbaren CAs sind unter SupportedCACertificateIdentifiers aufgeführt. Die Ausgabe zeigt auch, ob die Version der DB-Engine das Rotieren des Zertifikats ohne Neustart in SupportsCertificateRotationWithoutRestart unterstützt.

{
    "DBEngineVersions": [
        {
            "Engine": "postgres",
            "MajorEngineVersion": "13",
            "EngineVersion": "13.4",
            "DBParameterGroupFamily": "postgres13",
            "DBEngineDescription": "PostgreSQL",
            "DBEngineVersionDescription": "PostgreSQL 13.4-R1",
            "ValidUpgradeTarget": [],
            "SupportsLogExportsToCloudwatchLogs": false,
            "SupportsReadReplica": true,
            "SupportedFeatureNames": [
                "Lambda"
            ],
            "Status": "available",
            "SupportsParallelQuery": false,
            "SupportsGlobalDatabases": false,
            "SupportsBabelfish": false,
            "SupportsCertificateRotationWithoutRestart": true,
            "SupportedCACertificateIdentifiers": [
                "rds-ca-rsa2048-g1",
                "rds-ca-ecc384-g1",
                "rds-ca-rsa4096-g1"
            ]
        }
    ]
}

Gültigkeiten von DB-Serverzertifikaten

Die Gültigkeit des DB-Serverzertifikats hängt von der DB-Engine und der Version der DB-Engine ab. Wenn die Version der DB-Engine das Rotieren des Zertifikats ohne Neustart unterstützt, beträgt die Gültigkeit des DB-Serverzertifikats 1 Jahr. Andernfalls beträgt die Gültigkeit 3 Jahre.

Weitere Informationen zur Rotation des DB-Serverzertifikats finden Sie unter Automatische Rotation von Serverzertifikaten.

Anzeigen der CA für Ihre DB-Instance

Um die Details zur CA für eine DB-Instance in der Konsole anzuzeigen, wählen Sie Konnektivität und Sicherheit Registerkarte auf der Detailseite für die DB-Instance. Für Verbinden Sie sich mit, wähle Endpunkte. Die CA-Details erscheinen in der Sicherheit Abschnitt unter Zusätzliche Konfigurationen. Dieser Abschnitt zeigt Zertifizierungsstelle und, sofern verfügbar, Datum der Zertifizierungsstelle und Ablaufdatum des DB-Instance-Zertifikats.

Für einen Aurora-DB-Cluster können Sie die CA-Details nur auf der Detailseite für jede DB-Instance einsehen, nicht auf der Detailseite für den DB-Cluster.

Wenn Sie das verwenden AWS CLI, können Sie die Details über die CA für eine DB-Instance einsehen, indem Sie describe-db-instances Befehl.

Laden Sie Zertifikatspakete herunter für Aurora

Wenn Sie mit SSL oder TLS eine Verbindung zu Ihrer Datenbank herstellen, benötigt die Datenbank-Instance ein Vertrauenszertifikat von Amazon RDS. Wählen Sie den entsprechenden Link in der folgenden Tabelle aus, um das Paket herunterzuladen, das der AWS-Region entspricht, in der Sie Ihre Datenbank hosten.

Zertifikatspakete von AWS-Region

Die Zertifikatspakete für alle AWS-Regionen und GovCloud (US) Regionen enthalten die folgenden CA-Stammzertifikate:

Die Zertifikate rds-ca-rsa4096-g1 und rds-ca-ecc384-g1 sind in den folgenden Regionen nicht verfügbar:

Ihr Application Trust Store muss nur das Root-CA-Zertifikat registrieren. Registrieren Sie die CA-Zwischenzertifikate nicht in Ihrem Trust Store, da dies zu Verbindungsproblemen führen kann, wenn RDS Ihr DB-Serverzertifikat automatisch rotiert.

Um ein Zertifikatspaket für einen herunterzuladen AWS-Region, wählen Sie den Link für AWS-Region das Ihre Datenbank hostet, finden Sie in der folgenden Tabelle.

Anzeigen des Inhalts Ihres CA-Zertifikats

Verwenden Sie den folgenden Befehl, um den Inhalt Ihres CA-Zertifikatpakets zu überprüfen:

keytool -printcert -v -file global-bundle.pem