AWS RDS 中可升级的 CA 之间有什么区别？

Question

我们有一个当前使用 SSL/TLS 证书的 PostgreSQL RDS 实例rds-ca-2019。建议更新到新的 CA。

选项为rds-ca-ecc384-g1、rds-ca-rsa4096-g1、 或rds-ca-rsa2048-g1。

CA 之间有什么区别？

Answer 1

TLDR：对于直接替换，请使用rds-ca-rsa2048-g1

rds-ca-2019证书将于 2024 年 8 月到期。

新的 CA 证书是：

• rds-ca-rsa2048-g1（RSA 2048）
• rds-ca-rsa4096-g1（RSA 4096）
• rds-ca-ecc384-g1（ECC 384）

正如AWS 所推荐的，一个好的通用指南是使用rds-ca-rsa2048-g1，它提供与 相同的安全性rds-ca-2019。CA 之间的主要区别在于私钥算法，其次是签名算法。

可用的 CA 将取决于数据库引擎和数据库引擎版本。如果您需要更强的安全性，您还可以使用rds-ca-rsa4096-g1或rds-ca-ecc384-g1因为它们使用更强的算法。但是，请记住，并非所有客户端或系统都支持更复杂的 RSA 4096 或 ECC 384 算法。