Rotation des informations d'identification RDS Custom for Oracle pour les programmes de conformité

Pour effectuer une rotation manuelle des informations d'identification utilisateur pour une instance de base de données

1. Connectez-vous à la console Amazon RDS AWS Management Console et ouvrez-la à https://console.aws.amazon.com/rds/l'adresse.

2. Dans Dases de données, assurez-vous que RDS ne sauvegarde pas actuellement votre instance de base de données ou n'effectue aucune opération telle que la configuration de la haute disponibilité.

3. Sur la page de détails de la base de données, choisissez Configuration et notez l'ID de ressource de l'instance de base de données. Vous pouvez également utiliser la AWS CLI commandedescribe-db-instances.

4. Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/.

5. Dans le champ de recherche, entrez l'ID de ressource de votre base de données et recherchez un secret en utilisant l'une des conventions de dénomination suivantes :

   do-not-delete-rds-custom-resource_id-uuid
   rds-custom!oracle-do-not-delete-resource_id-uuid

   Ce secret enregistre le mot de passe pour RDSADMIN, SYS et SYSTEM. Les exemples de clés suivants concernent l'instance de base de données avec l'ID de ressource db-ABCDEFG12HIJKLNMNOPQRS3TUVWX et l'123456UUID :

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456
   rds-custom!oracle-do-not-delete-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456

   Important

   Si votre instance de base de données est un réplica en lecture et utilise le moteur custom-oracle-ee-cdb, deux secrets existent avec le suffixe db-resource_id-uuid, l'un pour l'utilisateur principal et l'autre pour RDSADMIN, SYS et SYSTEM. Pour trouver le secret correct, exécutez la commande suivante sur l'hôte :

   cat /opt/aws/rdscustomagent/config/database_metadata.json | python3 -c "import sys,json; print(json.load(sys.stdin)['dbMonitoringUserPassword'])"

   L'attribut dbMonitoringUserPassword indique le secret pour RDSADMIN, SYS et SYSTEM.

6. Si votre instance de base de données existe dans une configuration Oracle Data Guard, recherchez un secret en utilisant l'une des conventions de dénomination suivantes :

   do-not-delete-rds-custom-resource_id-uuid-dg
   rds-custom!oracle-do-not-delete-resource_id-uuid-dg

   Ce secret enregistre le mot de passe pour RDS_DATAGUARD. Les exemples de clés suivants concernent l'instance de base de données avec l'ID de ressource de base de données db-ABCDEFG12HIJKLNMNOPQRS3TUVWX et l'UUID 789012 :

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg
   rds-custom!oracle-do-not-delete-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg

7. Pour tous les utilisateurs de base de données répertoriés dans Utilisateurs Oracle prédéfinis, mettez à jour les mots de passe en suivant les instructions de la section Modifier un AWS Secrets Manager secret.

8. Si votre base de données est une base de données autonome ou une base de données source dans une configuration Oracle Data Guard :

   1. Démarrez votre client Oracle SQL et connectez-vous en tant que SYS.

   2. Exécutez une instruction SQL sous la forme suivante pour chaque utilisateur de base de données répertorié dans Utilisateurs Oracle prédéfinis :

      ALTER USER user-name IDENTIFIED BY pwd-from-secrets-manager ACCOUNT UNLOCK;

      Par exemple, si le nouveau mot de passe pour RDSADMIN enregistré dans Secrets Manager est pwd-123, exécutez l'instruction suivante :

      ALTER USER RDSADMIN IDENTIFIED BY pwd-123 ACCOUNT UNLOCK;

9. Si votre instance de base de données exécute Oracle Database 12c version 1 (12.1) et qu'elle est gérée par Oracle Data Guard, copiez manuellement le fichier de mots de passe (orapw) de l'instance de base de données principale vers chaque instance de base de données de secours.

   Si votre instance de base de données est hébergée sur Amazon RDS, l'emplacement du fichier de mots de passe est /rdsdbdata/config/orapw. Pour les bases de données qui ne sont pas hébergées dans Amazon RDS, l'emplacement par défaut est $ORACLE_HOME/dbs/orapw$ORACLE_SID sous Linux et UNIX, et %ORACLE_HOME%\database\PWD%ORACLE_SID%.ora sous Windows.