輪換 RDS Custom for Oracle 憑證以符合合規計畫

手動輪換資料庫執行個體的使用者憑證

1. 登入 AWS Management Console 並開啟位於 https：//https://console.aws.amazon.com/rds/ 的 Amazon RDS 主控台。

2. 請確認資料庫中，RDS 目前未備份您的資料庫執行個體，或執行高可用性設定等操作。

3. 在資料庫詳細資訊頁面中，選擇組態並記下資料庫執行個體的資源 ID。或者，您可以使用 AWS CLI 命令 describe-db-instances。

4. 前往以下位置開啟機密管理員控制台：https://console.aws.amazon.com/secretsmanager/。

5. 在搜尋方塊中，輸入資料庫的資源 ID，並使用下列任一命名慣例來搜尋秘密：

   do-not-delete-rds-custom-resource_id-uuid
   rds-custom!oracle-do-not-delete-resource_id-uuid

   此秘密會儲存 RDSADMIN、SYS 和 SYSTEM 的密碼。下列範例金鑰適用於具有資源 ID db-ABCDEFG12HIJKLNMNOPQRS3TUVWX和 UUID 的資料庫執行個體123456：

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456
   rds-custom!oracle-do-not-delete-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-123456

   重要

   若您的資料庫執行個體是僅供讀取複本並使用 custom-oracle-ee-cdb 引擎，則會有兩個具字尾 db-resource_id-uuid 的秘密，一個用於主要使用者，另一個用於 RDSADMIN、SYS 和 SYSTEM。若要尋找正確的秘密，請在主機執行下列命令：

   cat /opt/aws/rdscustomagent/config/database_metadata.json | python3 -c "import sys,json; print(json.load(sys.stdin)['dbMonitoringUserPassword'])"

   dbMonitoringUserPassword 屬性顯示 RDSADMIN、SYS 和 SYSTEM 的秘密。

6. 如果您的資料庫執行個體存在於 Oracle Data Guard 組態中，請使用下列任一命名慣例來搜尋秘密：

   do-not-delete-rds-custom-resource_id-uuid-dg
   rds-custom!oracle-do-not-delete-resource_id-uuid-dg

   此秘密會儲存 RDS_DATAGUARD 的密碼。下列範例金鑰適用於資料庫資源 ID db-ABCDEFG12HIJKLNMNOPQRS3TUVWX和 UUID 789012 的資料庫執行個體：

   do-not-delete-rds-custom-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg
   rds-custom!oracle-do-not-delete-db-ABCDEFG12HIJKLNMNOPQRS3TUVWX-789012-dg

7. 對於預先定義 Oracle 使用者中列出的所有資料庫使用者，請依照修改 AWS Secrets Manager 秘密中的指示來更新密碼。

8. 如果您的資料庫是獨立資料庫或 Oracle Data Guard 組態中的來源資料庫：

   1. 啟動您的 Oracle SQL 用戶端並以 SYS 登入。

   2. 針對預先定義 Oracle 使用者列出的每個資料庫使用者，以下列格式執行 SQL 陳述式：

      ALTER USER user-name IDENTIFIED BY pwd-from-secrets-manager ACCOUNT UNLOCK;

      例如，如果 RDSADMIN 儲存在 Secrets Manager 的密碼是 pwd-123，請執行下列陳述式：

      ALTER USER RDSADMIN IDENTIFIED BY pwd-123 ACCOUNT UNLOCK;

9. 若您的資料庫執行個體執行 Oracle 資料庫 12c 版本 1 (12.1)，且由 Oracle Data Guard 管理，請手動將密碼檔案 (orapw) 從主要資料庫執行個體複製到每個待命資料庫執行個體。

   若您的資料庫執行個體託管在 Amazon RDS，則密碼檔案位置為 /rdsdbdata/config/orapw。對於不在 Amazon RDS 託管的資料庫，在 Linux 和 UNIX 的預設位置是 $ORACLE_HOME/dbs/orapw$ORACLE_SID，在 Windows 的預設位置是 %ORACLE_HOME%\database\PWD%ORACLE_SID%.ora。