amazon-web-services - AWS RDS 证书颁发机构更新

Question

我最近收到一封关于需要更新我的 RDS 证书颁发机构的电子邮件。RDS 方面的说明似乎很简单:https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html

然而，在第 4 步中出现了一条重要消息:“当您安排此操作时，请确保您已事先更新了客户端信任存储。”

我似乎找不到任何有关更新连接到 RDS 进行 CA 更新的服务器的信息。

我的设置是 Beanstalk 上的 EC2 实例。

有谁知道我应该怎么做/做什么？
谢谢。

类似问题:Update Amazon RDS SSL/TLS Certificates - Elastic Beanstalk

Answer 1

基本上，仅当您使用从应用程序到 RDS 服务器的 SSL 连接时才需要安装认证。无论采用何种 SSL 连接，建议更新服务器的证书，但如果您未使用与 RDS 的 SSL 连接，则无需更新。

服务器端使用

当您使用SSL连接时，应尽快更改RDS服务器的证书。进入RDS控制台，然后您可以从左侧菜单列表中找到证书更新菜单。找到您的数据库集群，立即检查并更新您的 SSL 或为下次维护保留更新。

客户端使用

有关 SSL 证书的详细信息请参阅 documentation 。在这里，您可以下载rds 2019的根CA证书。链接如下。

https://s3.amazonaws.com/rds-downloads/rds-ca-2019-root.pem

此CA证书用于连接rds服务器，例如

mysql -h myinstance.c9akciq32.rds-us-east-1.amazonaws.com
--ssl-ca=[full path]rds-combined-ca-bundle.pem --ssl-mode=VERIFY_IDENTITY

或将其添加到客户端操作系统的受信任的根 CA。

例如在Windows中，您可以运行certmgr.msc并右键单击受信任的根ca，导入此证书。在 Mac 中，打开钥匙串(keychain)访问并导入此证书。这是一个选项。