更新您的 Amazon DocumentDB TLS 证书（cn-north-1 和 cn-northwest-1）

Amazon DocumentDB 集群的证书颁发机构 (CA) 证书将于 2024 年 9 月 9 日更新。如果您使用 Amazon DocumentDB 集群时启用了传输层安全性协议（TLS）（默认设置），而且您没有轮换您的客户端应用程序和服务器证书，则需要执行以下步骤以避免您的应用程序与 Amazon DocumentDB 集群之间发生连接性问题。

作为 Amazon DocumentDB 的标准维护和安全最佳实践的一部分， CA 和服务器证书已更新。客户端应用程序必须将新的 CA 证书添加到其信任存储中，且现有 Amazon DocumentDB 实例必须更新为在此到期日期之前使用新的 CA 证书。

更新您的应用程序和 Amazon DocumentDB 集群

按照此部分中的步骤更新应用程序的 CA 证书捆绑包（步骤 1），以及您集群的服务器证书（步骤 2）。在将变更应用于生产环境之前，我们强烈建议您在开发环境或登台环境中测试这些步骤。

步骤 1：下载新的 CA 证书并更新您的应用程序

下载新的 CA 证书并更新您的应用程序，以便使用新的 CA 证书创建与 Amazon DocumentDB 的 TLS 连接。从 https://rds-truststore.s3.cn-north-1.amazonaws.com.cn/global/global-bundle.pem 下载新的 CA 证书捆绑包。此操作将下载名为 cn-northwest-1-bundle.pem 的文件。

wget https://rds-truststore.s3.cn-north-1.amazonaws.com.cn/cn-northwest-1/cn-northwest-1-bundle.pem

接下来，更新应用程序以使用新的证书捆绑包。新 CA 捆绑包同时包含旧 CA 证书 (rds-ca-2019) 和新 CA 证书 (rds-ca-rsa2048-g1、rds-ca-rsa4096-g1)。新的 CA 捆绑包中同时包含这两个 CA 证书，您可以通过两个步骤来更新应用程序和集群。

要验证您的应用程序使用的是否是最新的 CA 证书捆绑包，请参阅我如何确定我使用的是最新的 CA 捆绑包？。如果您已在应用程序中使用最新的 CA 证书捆绑包，则可跳至步骤 2。

有关将 CA 捆绑与您的应用程序结合使用的示例，请参阅 加密传输中的数据 和 启用了 TLS 的情况下的连接。

步骤 2：更新服务器证书

在更新应用程序以使用新的 CA 捆绑包后，下一步是通过修改 Amazon DocumentDB 集群中每个实例来更新服务器证书。要修改实例以使用新的服务器证书，请参阅以下说明。

Amazon DocumentDB 提供以下 CA 来签署数据库实例的数据库服务器证书。

这些 CA 证书包含在区域和全球证书捆绑包中。当您将 rds-ca-rsa2048-g1 或 rds-ca-rsa4096-g1 CA 用于数据库时，Amazon DocumentDB 会管理数据库上的数据库服务器证书。Amazon DocumentDB 会在 DB 服务器证书过期前自动轮换（可能需要重新启动）。

常见问题

以下是有关 TLS 证书的一些常见问题的答案。

如果我有疑问或问题，应该怎么办？

如果您有任何疑问或问题，请联系 Amazon Web Services Support。

如何知道我是否在使用 TLS 连接我的 Amazon DocumentDB 集群？

您可以通过检查集群的集群参数组的 tls 参数来确定您的集群是否使用 TLS。如果将 tls 参数设置为 enabled，则表示您正在使用 TLS 证书连接到您的集群。有关更多信息，请参阅 管理 Amazon DocumentDB 集群参数组。

为什么要更新 CA 和服务器证书？

作为 Amazon DocumentDB 的标准维护和安全最佳实践的一部分，Amazon DocumentDB CA 和服务器证书已更新。当前的 CA 和服务器证书将于 2024 年 8 月起到期。

如果我在到期日之前没有采取任何行动会怎样？

如果您使用 TLS 连接您的 Amazon DocumentDB 集群，并且在 2024 年 9 月 9 日之前没有更改证书，那么通过 TLS 连接的应用程序将无法再与 Amazon DocumentDB 集群通信。

Amazon DocumentDB 将不会在到期之前自动轮换您的数据库证书。您必须在到期日之前或之后更新应用程序和集群以使用新的 CA 证书。

如何知道我的哪些 Amazon DocumentDB 实例在使用旧/新的服务器证书？

要识别仍在使用旧服务器证书的 Amazon DocumentDB 实例，您仍然可以使用旧服务器证书，您也可以使用 Amazon DocumentDB Amazon Web Services Management Console或 Amazon CLI。

aws docdb describe-db-instances \
    --filters Name=engine,Values=docdb \
    --query 'DBInstances[*].{CertificateVersion:CACertificateIdentifier,InstanceID:DBInstanceIdentifier}'
         

如何修改 Amazon DocumentDB 集群中的单个实例以更新服务器证书？

我们建议您在给定集群中同时更新所有实例的服务器证书。要修改您的集群中的实例，可以使用控制台或 Amazon CLI。

如果我向现有集群中添加新的实例，会怎么样？

如果我的集群发生实例替换或故障转移，会怎么样？

如果集群中有实例替换，则创建的新实例将继续使用该实例以前使用的服务器证书。我们建议您同时更新所有实例的服务器证书。如果集群中发生失效转移，则使用新主实例上的服务器证书。

如果我没有使用 TLS 连接到我的集群，我还需要更新每个实例吗？

如果您未使用 TLS 连接到 Amazon DocumentDB 集群，则不需要执行操作。

如果我目前没有使用 TLS 连接到集群，但计划将来这样做，该怎么办？

如果您的集群是在 2024 年 9 月 9 日之前创建的，请按照上一部分中的步骤 1 和步骤 2 进行操作，以确保您的应用程序使用的是更新后的 CA 捆绑包，且每个 Amazon DocumentDB 实例使用的都是最新的服务器证书。如果您的集群是在 2024 年 9 月 9 日之后创建的，那么您的集群已经具有最新的服务器证书。要验证您的应用程序使用的是否是最新的 CA 捆绑包，请参阅如果我没有使用 TLS 连接到我的集群，我还需要更新每个实例吗？

截止日期能否延至 2024 年 9 月 9 日之后？

如果您的应用程序通过 TLS 进行连接，则无法延长截止日期。

我如何确定我使用的是最新的 CA 捆绑包？

为什么我在 CA 捆绑包的名称中看到 “RDS”？

对于某些管理功能，例如证书管理，Amazon DocumentDB 使用与 Amazon Relational Database Service (Amazon RDS) 共享的操作技术。

新服务器证书将（通常）按以下方式过期：

如果我应用了新的服务器证书，我可以恢复为使用旧的服务器证书吗？

如果您需要将实例恢复为使用旧的服务器证书，建议您对集群中的所有实例都执行此操作。您可以通过使用 Amazon Web Services Management Console 或 Amazon CLI 来还原集群中每个实例的服务器证书。

如果我从快照还原或执行时间点还原，它会有新的服务器证书吗？

如果在 2024 年 9 月 9 日之后还原快照或执行时间点还原，则创建的新集群将使用新 CA 证书。

如果我在从 Mac OS 直接连接到我的 Amazon DocumentDB 集群时遇到问题，该怎么办？

Mac OS 已更新对可信证书的要求。现在，可信证书的有效期必须不超过 397 天（请参阅 https://support.apple.com/en-us/HT211025）。

Amazon DocumentDB 实例证书的有效期超过四年，超过 Mac 操作系统的最大有效期。要从运行 Mac OS 的计算机直接连接到 Amazon DocumentDB 集群，您必须在创建 TLS 连接时允许使用无效证书。在这种情况下，无效证书是指其有效期超过 397 天。在连接到 Amazon DocumentDB 集群时，您应在允许使用无效证书之前了解风险。

要使用 Amazon CLI 从 Mac OS 连接到 Amazon DocumentDB 集群，请使用 tlsAllowInvalidCertificates 参数。

mongo --tls --host <hostname> --username <username> --password <password> --port 27017 --tlsAllowInvalidCertificates