Rotazione delle credenziali RDS Custom per Oracle per i programmi di conformità

Per ruotare manualmente le credenziali utente per un'istanza DB

1. Accedi a AWS Management Console e apri la console Amazon RDS all'indirizzo https://console.aws.amazon.com/rds/.

2. In Database, assicurati che al momento RDS non stia eseguendo il backup dell'istanza DB o operazioni come la configurazione della disponibilità elevata.

3. Nella pagina dei dettagli del database, scegli Configurazione e annota l'ID risorsa dell'istanza DB. Oppure puoi usare il AWS CLI comandodescribe-db-instances.

4. Apri la console Secrets Manager all'indirizzo https://console.aws.amazon.com/secretsmanager/.

5. Nella casella di ricerca, inserisci l'ID della risorsa del tuo database e cerca un segreto utilizzando una delle seguenti convenzioni di denominazione:

   do-not-delete-rds-custom-resource_id-uuid
   rds-custom!oracle-do-not-delete-resource_id-uuid

   In questo segreto è archiviata la password per RDSADMIN, SYS e SYSTEM. Le seguenti chiavi di esempio si riferiscono all'istanza DB con ID di risorsa db-ABCDEFG12HIJKLNMNOPQRS3TUVWX e UUID: 123456

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456
   rds-custom!oracle-do-not-delete-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456

   Importante

   Se l'istanza DB è una replica di lettura e utilizza il motore custom-oracle-ee-cdb, esistono due segreti con il suffisso db-resource_id-uuid, uno per l'utente master e l'altro per RDSADMIN, SYS e SYSTEM. Per trovare il segreto corretto, esegui il seguente comando sull'host:

   cat /opt/aws/rdscustomagent/config/database_metadata.json | python3 -c "import sys,json; print(json.load(sys.stdin)['dbMonitoringUserPassword'])"

   L'attributo dbMonitoringUserPassword indica il segreto per RDSADMIN, SYS eSYSTEM.

6. Se l'istanza DB esiste in una configurazione Oracle Data Guard, cerca un segreto utilizzando una delle seguenti convenzioni di denominazione:

   do-not-delete-rds-custom-resource_id-uuid-dg
   rds-custom!oracle-do-not-delete-resource_id-uuid-dg

   In questo segreto è archiviata la password per RDS_DATAGUARD. Le seguenti chiavi di esempio riguardano l'istanza DB con l'ID di risorsa DB db-ABCDEFG12HIJKLNMNOPQRS3TUVWX e l'UUID 789012:

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg
   rds-custom!oracle-do-not-delete-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg

7. Per tutti gli utenti del database elencati in Utenti Oracle predefiniti, aggiorna le password seguendo le istruzioni riportate in Modificare un segreto. AWS Secrets Manager

8. Se il database è un database autonomo o un database di origine in una configurazione di Oracle Data Guard:

   1. Avvia il client Oracle SQL e accedi come SYS.

   2. Esegui un'istruzione SQL nel seguente modo per ogni utente del database elencato nella tabella Utenti Oracle predefiniti:

      ALTER USER user-name IDENTIFIED BY pwd-from-secrets-manager ACCOUNT UNLOCK;

      Ad esempio, se la nuova password per RDSADMIN archiviata in Secrets Manager èpwd-123, esegui la seguente istruzione:

      ALTER USER RDSADMIN IDENTIFIED BY pwd-123 ACCOUNT UNLOCK;

9. Se l'istanza DB è eseguita in Oracle Database 12c Release 1 (12.1) ed è gestita da Oracle Data Guard, copia manualmente il file di password (orapw) dall'istanza DB primaria in ciascuna istanza DB in standby.

   Se l'istanza DB è ospitata in Amazon RDS, la posizione del file di password è /rdsdbdata/config/orapw. Per i database non ospitati in Amazon RDS, la posizione predefinita è $ORACLE_HOME/dbs/orapw$ORACLE_SID su Linux e UNIX e %ORACLE_HOME%\database\PWD%ORACLE_SID%.ora su Windows.