postgresql - 准备在 2020 年更新 AWS RDS 公共(public)证书(Postgres)

Question

我有一个关于 Postgres 数据库的 Amazon rds-ca-2015-root 证书到期的问题，该证书计划于 2020 年 3 月 5 日到期。我我想准备我的 Java 客户端软件组件，以便在服务器切换到新的 2020 证书时将它们的停机时间降至最低。当使用 SSL 验证服务器时，客户端使用带有 RDS 证书的 jks truststore。我假设 2020 年证书将在 30 天前左右提供，即 2020 年 2 月 5 日。

这是我认为我应该做的，我正在寻找一些确认这确实会像我预期的那样工作:

1. 在到期之前的某个时间，使用包含 2015 证书和 2020 证书的信任库文件向客户端推送软件更新。客户端应该愉快地继续根据 2015 证书进行身份验证。新证书具有不同的签名/指纹，因此不匹配。它应该被忽略。

2. 在到期之前，修改 RDS 实例以使用 2020 证书。需要重新启动服务器。然后，客户端将匹配 2020 证书，忽略签名不再匹配的 2015 证书。停机时间仅限于服务器重启。

3. 稍后，使用删除 2015 证书的信任库向客户端推送新更新。

这是正确的做法吗？是否有任何理由认为在#1 中，Java 客户端将尝试对 2020 证书进行身份验证但失败，因为它与相同的主题和颁发者匹配？或者相反，在 #3 中，由于字段相同，他们尝试对 2015 证书进行身份验证但失败了？

我想换一种方式提出这个问题，客户端(java 或其他)是否可以持有两个用于服务器身份验证的公共(public)证书，其中一个已过期或尚未生效，但都指向相同的主题和颁发者，并且可能如果亚马逊不轮换他们的 key ，他们甚至拥有相同的公钥(尽管我认为最佳实践表明他们会这样做)。

Answer 1

在将 RDS 中的证书颁发机构升级到 rds-ca-2019 之前，在不中断连接的情况下，您可以在客户端升级证书。

如果你的 RDS 有 rds-ca-2015，你应该用这个升级客户端 key https://s3.amazonaws.com/rds-downloads/rds-combined-ca-bundle.pem .

根据 AWS 文档 https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL.html它说 rds-combined-ca-bundle.pem 文件同时具有中间证书和根证书。

一旦您的应用程序具有 combined-ca 文件，那么您应该继续将您的 RDS 升级到证书颁发机构 rds-ca-2019。

通过这种方式，您无需停机即可将 RDS 中的证书颁发机构升级到 rds-ca-2019。