轮换 SSL/TLS 证书

截至 2020 年 5 月 5 日，Amazon RDS CA-2015 证书已过期。如果您使用或计划为证书验证使用安全套接字层 (SSL) 或传输层安全性 (TLS) 连接到 RDS 数据库实例，则需要 Amazon RDS CA-2019 证书，这些证书已默认为新数据库实例启用。如果您当前未将 SSL/TLS 用于证书验证，则可能仍有过期的 CA-2015 证书，如果您计划为证书验证使用 SSL/TLS 连接到 RDS 数据库，则必须将其更新为 CA-2019 证书。

请按照以下说明完成更新。更新数据库实例以使用新的 CA 证书之前，请确保更新连接到 RDS 数据库的客户端或应用程序。

Amazon RDS 提供新 CA 证书作为Amazon最佳安全实践。有关新证书和受支持的 Amazon 区域的信息，请参阅 使用 SSL/TLS 加密与数据库集群的连接。

通过修改数据库实例来更新 CA 证书

完成以下步骤以更新 CA 证书。

您可以使用 Amazon Web Services Management Console 或 Amazon CLI 为数据库实例将 CA 证书从 rds-ca-2015 更改为 rds-ca-2019。

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --ca-certificate-identifier rds-ca-2019 \
    --no-apply-immediately

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --ca-certificate-identifier rds-ca-2019 ^
    --no-apply-immediately

通过应用数据库实例维护来更新 CA 证书

完成以下步骤，通过应用数据库实例维护来更新 CA 证书。

您可以使用 Amazon Web Services Management Console 来应用数据库实例维护，以将多个数据库实例的 CA 证书从 rds-ca-2015 更改为 rds-ca-2019。

通过将维护应用于多个数据库实例来更新 CA 证书

使用 Amazon Web Services Management Console 更改多个数据库实例的 CA 证书。

将证书导入信任存储的示例脚本

以下是将证书捆绑包导入信任存储的示例 shell 脚本。

每个示例 Shell 脚本都使用 keytool，它是 Java 开发工具包 (JDK) 的一部分。有关安装 JDK 的信息，请参阅 JDK 安装指南。

在 Linux 上导入证书的示例脚本

下面是一个示例 Shell 脚本，它将证书捆绑包导入 Linux 操作系统上的信任存储。

mydir=tmp/certs
if [ ! -e "${mydir}" ]
then
mkdir -p "${mydir}"
fi

truststore=${mydir}/rds-truststore.jks
storepassword=changeit

curl -sS "https://rds-truststore.s3.cn-north-1.amazonaws.com.cn/global/global-bundle.pem" > ${mydir}/global-bundle.pem
awk 'split_after == 1 {n++;split_after=0} /-----END CERTIFICATE-----/ {split_after=1}{print > "rds-ca-" n ".pem"}' < ${mydir}/global-bundle.pem

for CERT in rds-ca-*; do
  alias=$(openssl x509 -noout -text -in $CERT | perl -ne 'next unless /Subject:/; s/.*(CN=|CN = )//; print')
  echo "Importing $alias"
  keytool -import -file ${CERT} -alias "${alias}" -storepass ${storepassword} -keystore ${truststore} -noprompt
  rm $CERT
done

rm ${mydir}/global-bundle.pem

echo "Trust store content is: "

keytool -list -v -keystore "$truststore" -storepass ${storepassword} | grep Alias | cut -d " " -f3- | while read alias 
do
   expiry=`keytool -list -v -keystore "$truststore" -storepass ${storepassword} -alias "${alias}" | grep Valid | perl -ne 'if(/until: (.*?)\n/) { print "$1\n"; }'`
   echo " Certificate ${alias} expires in '$expiry'" 
done
                

在 macOS 上导入证书的示例脚本

下面是一个示例 Shell 脚本，它将证书捆绑包导入 macOS 上的信任存储。

mydir=tmp/certs
if [ ! -e "${mydir}" ]
then
mkdir -p "${mydir}"
fi

truststore=${mydir}/rds-truststore.jks
storepassword=changeit

curl -sS "https://rds-truststore.s3.cn-north-1.amazonaws.com.cn/global/global-bundle.pem" > ${mydir}/global-bundle.pem
split -p "-----BEGIN CERTIFICATE-----" ${mydir}/global-bundle.pem rds-ca-

for CERT in rds-ca-*; do
  alias=$(openssl x509 -noout -text -in $CERT | perl -ne 'next unless /Subject:/; s/.*(CN=|CN = )//; print')
  echo "Importing $alias"
  keytool -import -file ${CERT} -alias "${alias}" -storepass ${storepassword} -keystore ${truststore} -noprompt
  rm $CERT
done

rm ${mydir}/global-bundle.pem

echo "Trust store content is: "

keytool -list -v -keystore "$truststore" -storepass ${storepassword} | grep Alias | cut -d " " -f3- | while read alias 
do
   expiry=`keytool -list -v -keystore "$truststore" -storepass ${storepassword} -alias "${alias}" | grep Valid | perl -ne 'if(/until: (.*?)\n/) { print "$1\n"; }'`
   echo " Certificate ${alias} expires in '$expiry'" 
done