amazon-web-services - AWS RDS 证书捆绑 URL 之间有什么区别？

Question

我找到了https://s3.amazonaws.com/rds-downloads/rds-combined-ca-bundle.pem在旧存储库中并得出结论，这包含 RDS 证书，如 here for Lightsail 所述.相反，RDS documentation宣称使用 https://truststore.pki.rds.amazonaws.com/global/global-bundle.pem .这两个网址有什么区别？第一个只是“旧”，“旧”版本吗？

Answer 1

我最近遇到了同样的问题，虽然我没有在文档中找到 AWS 的官方答案，但我认为现在正确的答案是托管在 truststore.pki.rds.amazonaws.com 中的答案。 :

RDS 文档只提到了托管在 truststore.pki... 上的文档。

您仍然可以下载这两个文件并使用 openssl 检查它们的证书:

openssl crl2pkcs7 -nocrl -certfile global-bundle.pem | openssl pkcs7 -print_certs -text -noout | less

openssl crl2pkcs7 -nocrl -certfile rds-combined-ca-bundle.pem | openssl pkcs7 -print_certs -text -noout | less

然后你会看到 rds-combined-ca-bundle.pem包含 global-bundle.pem 中包含的证书的子集 (~30) (〜100)。后者包含更多区域，以及 RSA 与椭圆曲线的多个 CA 变体。

长话短说，我认为你是对的， s3.amazonaws.com 上的那个人是一个遗留文件，只是为了不破坏现有流程而保留，可能是在 2015 年到 2019 年 CA 迁移时完成的。