Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Rotieren der Anmeldeinformationen von RDS Custom für Oracle für Compliance-Programme
Bei einigen Compliance-Programmen müssen die Anmeldeinformationen der Datenbankbenutzer regelmäßig geändert werden, z. B. alle 90 Tage. RDS Custom für Oracle rotiert die Anmeldeinformationen für einige vordefinierte Datenbankbenutzer automatisch.
Themen
Automatische Rotation der Anmeldeinformationen für vordefinierte Benutzer
Wenn Ihre DB-Instance von RDS Custom für Oracle in Amazon RDS gehostet wird, wechseln die Anmeldeinformationen für die folgenden vordefinierten Oracle-Benutzer automatisch alle 30 Tage. Die Anmeldeinformationen der vorherigen Benutzer befinden sich in AWS Secrets Manager.
| Datenbankbenutzer | Erstellt von | Unterstützte Engine-Versionen | Hinweise |
|---|---|---|---|
|
|
Oracle |
custom-oracle-ee custom-oracle-ee-cdb custom-oracle-se2 custom-oracle-se2-cdb | |
|
|
Oracle |
custom-oracle-ee custom-oracle-ee-cdb custom-oracle-se2 custom-oracle-se2-CDB | |
|
|
RDS |
custom-oracle-ee custom-oracle-se2 | |
|
|
RDS |
custom-oracle-ee-cdb custom-oracle-se2-CDB | Benutzernamen mit einem C## Präfix existieren nur in. CDBs Weitere Informationen finden Sie unter Überblick über CDBs die Architektur von Amazon RDS Custom for Oracle. |
|
|
RDS |
custom-oracle-ee | Dieser Benutzer ist nur in Lesereplikaten, Quelldatenbanken für Lesereplikate und Datenbanken vorhanden, die Sie mithilfe von Oracle Data Guard physisch zu RDS Custom migriert haben. |
|
|
RDS |
custom-oracle-ee-cdb | Dieser Benutzer ist nur in Lesereplikaten, Quelldatenbanken für Lesereplikate und Datenbanken vorhanden, die Sie mithilfe von Oracle Data Guard physisch zu RDS Custom migriert haben. Benutzernamen mit einem C## Präfix existieren nur in CDBs. Weitere Informationen finden Sie unter Überblick über CDBs die Architektur von Amazon RDS Custom for Oracle. |
Eine Ausnahme von der automatischen Rotation der Anmeldeinformationen ist eine DB-Instance von RDS Custom für Oracle, die Sie manuell als Standby-Datenbank konfiguriert haben. RDS rotiert nur die Anmeldeinformationen für Lesereplikate, die Sie mit dem CLI-Befehl create-db-instance-read-replica oder der API CreateDBInstanceReadReplica erstellt haben.
Richtlinien für das Rotieren von Benutzeranmeldeinformationen
Beachten Sie die folgenden Richtlinien, um sicherzustellen, dass Ihre Anmeldeinformationen entsprechend Ihrem Compliance-Programm rotieren:
Wenn Ihre DB-Instance die Anmeldeinformationen automatisch rotiert, ändern oder löschen Sie keine Secrets, Passwortdateien oder Passwörter für Benutzer, die unter Vordefinierte Oracle-Benutzer aufgeführt sind. Andernfalls platziert RDS Custom Ihre DB-Instance möglicherweise außerhalb des Support-Perimeters, wodurch die automatische Rotation ausgesetzt wird.
Der RDS-Hauptbenutzer ist nicht vordefiniert, sodass Sie entweder dafür verantwortlich sind, das Passwort manuell zu ändern oder die automatische Rotation in Secrets Manager einzurichten. Weitere Informationen finden Sie unter Rotate AWS Secrets Manager Secrets.
Manuelles Rotieren der Benutzeranmeldeinformationen
Für die folgenden Datenbankkategorien rotiert RDS die Anmeldeinformationen für die Benutzer, die unter Vordefinierte Oracle-Benutzer aufgeführt sind, nicht automatisch:
-
Eine Datenbank, die Sie manuell so konfiguriert haben, dass sie als Standby-Datenbank funktioniert.
-
Eine On-Premises-Datenbank.
-
Eine DB-Instance, die sich außerhalb des Support-Perimeters oder in einem Zustand befindet, in dem die RDS-Custom-Automatisierung nicht ausgeführt werden kann. In diesem Fall rotiert RDS Custom auch keine Schlüssel.
Wenn Ihre Datenbank in eine der vorherigen Kategorien fällt, müssen Sie Ihre Benutzeranmeldeinformationen manuell rotieren.
So rotieren Sie die Benutzeranmeldeinformationen für eine DB-Instance manuell
Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon RDS-Konsole unter https://console.aws.amazon.com/rds/
. -
Stellen Sie unter Datenbanken sicher, dass RDS derzeit keine Backups Ihrer DB-Instance erstellt oder Vorgänge wie das Konfigurieren von Hochverfügbarkeit ausführt.
-
Wählen Sie auf der Seite mit den Datenbankdetails die Option Konfiguration und notieren Sie sich die Ressourcen-ID für die DB-Instance. Oder Sie können den AWS CLI Befehl verwenden
describe-db-instances. -
Öffnen Sie die Secrets Manager Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/
. -
Geben Sie im Suchfeld die Ressourcen-ID Ihrer Datenbank ein und suchen Sie mithilfe einer der folgenden Namenskonventionen nach einem Geheimnis:
do-not-delete-rds-custom-resource_id-uuidrds-custom!oracle-do-not-delete-resource_id-uuidDieses Secret speichert das Passwort für
RDSADMIN,SYSundSYSTEM. Die folgenden Beispielschlüssel gelten für die DB-Instance mit der Ressourcen-IDdb-ABCDEFG12HIJKLNMNOPQRS3TUVWXund der123456UUID:do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456 rds-custom!oracle-do-not-delete-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456Wichtig
Wenn Ihre DB-Instance ein Lesereplikat ist und die Engine
custom-oracle-ee-cdbverwendet, existieren zwei Secrets mit dem Suffixdb-resource_id-uuidRDSADMIN,SYSundSYSTEM. Führen Sie den folgenden Befehl auf dem Host aus, um das richtige Secret zu finden:cat /opt/aws/rdscustomagent/config/database_metadata.json | python3 -c "import sys,json; print(json.load(sys.stdin)['dbMonitoringUserPassword'])"Das
dbMonitoringUserPassword-Attribut gibt das Secret fürRDSADMIN,SYSundSYSTEMan. -
Wenn Ihre DB-Instance in einer Oracle Data Guard-Konfiguration vorhanden ist, suchen Sie mit einer der folgenden Namenskonventionen nach einem Geheimnis:
do-not-delete-rds-custom-resource_id-uuid-dg rds-custom!oracle-do-not-delete-resource_id-uuid-dgDieses Secret speichert das Passwort für
RDS_DATAGUARD. Die folgenden Beispielschlüssel gelten für die DB-Instance mit der DB-Ressourcen-IDdb-ABCDEFG12HIJKLNMNOPQRS3TUVWXund der UUID 789012:do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg rds-custom!oracle-do-not-delete-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg -
Aktualisieren Sie für alle Datenbankbenutzer, die unter Vordefinierte Oracle-Benutzer aufgeführt sind, die Passwörter, indem Sie den Anweisungen unter Ändern eines Geheimnisses folgen. AWS Secrets Manager
-
Wenn Ihre Datenbank eine eigenständige Datenbank oder eine Quelldatenbank in einer Konfiguration von Oracle Data Guard ist:
-
Starten Sie Ihren Oracle-SQL-Client und melden Sie sich als
SYSan. -
Führen Sie für jeden Datenbankbenutzer, der unter Vordefinierte Oracle-Benutzer aufgeführt ist, eine SQL-Anweisung in der folgenden Form aus:
ALTER USERuser-nameIDENTIFIED BYpwd-from-secrets-managerACCOUNT UNLOCK;Wenn das neue Passwort für
RDSADMIN, das in Secrets Manager gespeichert ist, beispielsweisepwd-123lautet, führen Sie die folgende Anweisung aus:ALTER USER RDSADMIN IDENTIFIED BY pwd-123 ACCOUNT UNLOCK;
-
-
Wenn Ihre DB-Instance Oracle Database 12c Release 1 (12.1) ausführt und von Oracle Data Guard verwaltet wird, kopieren Sie die Passwortdatei (
orapw) manuell von der primären DB-Instance auf jede Standby-DB-Instance.Wenn Ihre DB-Instance in Amazon RDS gehostet wird, lautet der Speicherort der Passwortdatei
/rdsdbdata/config/orapw. Für Datenbanken, die nicht in Amazon RDS gehostet werden, ist der Standardspeicherort unter Linux und UNIX$ORACLE_HOME/dbs/orapw$ORACLE_SIDund unter Windows%ORACLE_HOME%\database\PWD%ORACLE_SID%.ora.
