AWS RDS 证书颁发机构更新

Question

我最近收到一封电子邮件，内容涉及我的 RDS 证书颁发机构的必要更新。RDS 方面的说明似乎很简单：https : //docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html

但是在第 4 步有一条重要信息，“当你安排此操作，请确保您事先更新了客户端信任存储。”

我似乎找不到任何有关更新连接到 RDS 以进行 CA 更新的服务器的信息。

我的设置是 Beanstalk 上的 EC2 实例。

有谁知道我该怎么做/我应该做什么？
谢谢你。

类似问题：更新 Amazon RDS SSL/TLS 证书 - Elastic Beanstalk

Answer 1

基本上，仅当您使用从应用程序到 RDS 服务器的 SSL 连接时才需要安装认证。无论使用哪种 SSL 连接，都建议更新服务器的证书，但如果您不使用 SSL 连接到 RDS，则无需更新。

服务器端使用

当您使用SSL连接时，应尽快更改RDS服务器的证书。进入RDS控制台，在左侧菜单列表中可以找到证书更新菜单。找到您的数据库集群，立即检查并更新您的 SSL 或为下次维护保留更新。

客户端使用

有关 SSL 证书的详细信息请参阅文档。从这里，您可以下载rds 2019的根CA证书。链接如下。

https://s3.amazonaws.com/rds-downloads/rds-ca-2019-root.pem

该CA证书用于连接rds服务器，例如

mysql -h myinstance.c9akciq32.rds-us-east-1.amazonaws.com
--ssl-ca=[full path]rds-combined-ca-bundle.pem --ssl-mode=VERIFY_IDENTITY

或将其添加到客户端操作系统的受信任根 CA。

例如在 Windows 中，您可以运行certmgr.msc并右键单击受信任的根 ca，导入此证书。在 Mac 中，打开keychain access并导入此证书。这是一个选项。