Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan SSL/TLS untuk mengenkripsi koneksi ke DB instance atau cluster

Anda dapat menggunakan Secure Socket Layer (SSL) atau Transport Layer Security (TLS) dari aplikasi Anda untuk mengenkripsi koneksi ke database yang menjalankan Db2, MariaDB, Microsoft SQL Server, MySQL, Oracle, atau PostgreSQL.

SSL/TLS koneksi memberikan lapisan keamanan dengan mengenkripsi data yang bergerak antara klien Anda dan DB instance atau cluster . Secara opsional, Anda SSL/TLS koneksi dapat melakukan verifikasi identitas server dengan memvalidasi sertifikat server yang diinstal pada database Anda. Untuk meminta verifikasi identitas server, ikuti proses umum ini:

Otoritas sertifikat

Otoritas Sertifikat (CA) adalah sertifikat yang mengidentifikasi CA root di bagian atas rantai sertifikat. CA menandatangani sertifikat server DB, yang diinstal pada setiap instans DB. Sertifikat server DB mengidentifikasi instans DB sebagai server tepercaya.

Amazon RDS menyediakan CA berikut untuk menandatangani sertifikat server DB untuk database.

Sertifikat CA ini termasuk dalam paket sertifikat regional dan global. Jika Anda menggunakan CA rds-ca-rsa2048-g1, rds-ca-rsa4096-g1, atau rds-ca-ecc384-g1 dengan basis data, RDS mengelola sertifikat server DB pada basis data. RDS merotasi sertifikat server DB secara otomatis sebelum sertifikat ini kedaluwarsa.

Mengatur CA untuk basis data Anda

Anda dapat mengatur CA untuk basis data saat Anda melakukan tugas berikut:

CA yang tersedia bergantung pada mesin DB dan versi mesin DB. Saat Anda menggunakan Konsol Manajemen AWS, Anda dapat memilih CA menggunakan Otoritas sertifikat pengaturan, seperti yang ditunjukkan pada gambar berikut.

Konsol hanya menampilkan CA yang tersedia untuk mesin DB dan versi mesin DB. Jika Anda menggunakan AWS CLI, Anda dapat mengatur CA untuk instance DB menggunakan buat-db-instance atau modify-db-instance perintah. Anda dapat mengatur CA untuk a Multi-AZ Cluster DB menggunakan buat-db-cluster atau modify-db-cluster perintah.

Jika Anda menggunakan AWS CLI, Anda dapat melihat CA yang tersedia untuk akun Anda dengan menggunakan deskripsi-sertifikat perintah. Perintah ini juga menunjukkan tanggal kedaluwarsa untuk setiap CA di ValidTill dalam output. Anda dapat menemukan CA yang tersedia untuk mesin DB dan versi mesin DB tertentu menggunakan perintah describe-db-engine-versions.

Contoh berikut menunjukkan CA yang tersedia untuk versi mesin DB RDS for PostgreSQL default.

aws rds describe-db-engine-versions --default-only --engine postgres

Output Anda akan seperti yang berikut ini. CA yang tersedia tercantum di SupportedCACertificateIdentifiers. Output ini juga menunjukkan apakah versi mesin DB mendukung rotasi sertifikat tanpa pengaktifan ulang di SupportsCertificateRotationWithoutRestart.

{
    "DBEngineVersions": [
        {
            "Engine": "postgres",
            "MajorEngineVersion": "13",
            "EngineVersion": "13.4",
            "DBParameterGroupFamily": "postgres13",
            "DBEngineDescription": "PostgreSQL",
            "DBEngineVersionDescription": "PostgreSQL 13.4-R1",
            "ValidUpgradeTarget": [],
            "SupportsLogExportsToCloudwatchLogs": false,
            "SupportsReadReplica": true,
            "SupportedFeatureNames": [
                "Lambda"
            ],
            "Status": "available",
            "SupportsParallelQuery": false,
            "SupportsGlobalDatabases": false,
            "SupportsBabelfish": false,
            "SupportsCertificateRotationWithoutRestart": true,
            "SupportedCACertificateIdentifiers": [
                "rds-ca-rsa2048-g1",
                "rds-ca-ecc384-g1",
                "rds-ca-rsa4096-g1"
            ]
        }
    ]
}

Validitas sertifikat server DB

Validitas sertifikat server DB bergantung pada mesin DB dan versi mesin DB. Jika versi mesin DB mendukung rotasi sertifikat tanpa pengaktifan ulang, validitas sertifikat server DB adalah 1 tahun. Jika tidak, validitasnya adalah 3 tahun.

Untuk informasi selengkapnya tentang rotasi sertifikat server DB, lihat Rotasi sertifikat server otomatis .

Melihat CA untuk instans DB

Untuk melihat detail tentang CA untuk instance DB di konsol, pilih Konektivitas & keamanan tab pada halaman detail untuk instance DB. Untuk Hubungkan menggunakan, pilih Titik akhir. Detail CA muncul di Keamanan bagian di bawah Konfigurasi tambahan. Bagian ini menunjukkan Otoritas sertifikat dan, jika tersedia, Tanggal otoritas sertifikat dan Tanggal kedaluwarsa sertifikat instance DB.

Jika Anda menggunakan AWS CLI, Anda dapat melihat detail tentang CA untuk instance DB dengan menggunakan deskripsi-db-instance perintah. Anda dapat melihat detail tentang CA untuk Multi-AZ Cluster DB dengan menggunakan deskripsi-db-cluster perintah.

Unduh bundel sertifikat untuk Amazon RDS

Saat Anda terhubung ke database dengan SSL atau TLS, instance database memerlukan sertifikat kepercayaan dari Amazon RDS. Pilih tautan yang sesuai dalam tabel berikut untuk mengunduh bundel yang sesuai dengan Wilayah AWS di mana Anda meng-host database Anda.

Paket sertifikat oleh Wilayah AWS

Bundel sertifikat untuk semua Wilayah AWS dan GovCloud Wilayah (AS) berisi sertifikat CA root berikut:

Yang rds-ca-rsa4096-g1 dan rds-ca-ecc384-g1 sertifikat tidak tersedia di Wilayah berikut:

Toko kepercayaan aplikasi Anda hanya perlu mendaftarkan sertifikat CA root. Jangan mendaftarkan sertifikat CA perantara ke penyimpanan kepercayaan Anda karena ini dapat menyebabkan masalah koneksi ketika RDS secara otomatis memutar sertifikat server DB Anda.

Untuk mengunduh bundel sertifikat untuk Wilayah AWS, pilih tautan untuk Wilayah AWS yang menghosting database Anda dalam tabel berikut.

Melihat isi sertifikat CA Anda

Untuk memeriksa konten paket sertifikat CA Anda, gunakan perintah berikut:

keytool -printcert -v -file global-bundle.pem