¿Cómo actualizo los certificados SSL/TLS de las bases de datos de Amazon RDS y Aurora para crear conexiones seguras?

Resolución

Identificación del certificado SSL/TLS actual

Sigue estos pasos:

1. Abre la consola de Amazon RDS.
2. En el panel de navegación, elige Bases de datos y, a continuación, selecciona tu base de datos de Amazon RDS o Aurora.
3. En Conectividad y seguridad, consulte la sección Seguridad para ver la autoridad de certificación (CA) que utiliza la base de datos.

Nota: Para ver la lista de las CA que puedes usar con las bases de datos de Amazon RDS y Aurora, consulta Autoridades de certificación.

Actualización del certificado SSL/TLS

Sigue estos pasos:

1. Abre la consola de Amazon RDS.
2. En el panel de navegación, elige Bases de datos y, a continuación, selecciona tu base de datos de Amazon RDS o Aurora.
3. Selecciona Modificar.
4. En Conectividad, elige Autoridad de certificación.
5. En Autoridad de certificación, elige Continuar y, a continuación, revisa las modificaciones.
6. Para los motores de bases de datos que admiten la rotación de certificados sin reiniciar, elige Aplicar inmediatamente.
   Nota: Si no eliges Aplicar inmediatamente, los cambios se aplicarán durante el siguiente periodo de mantenimiento.
   Para los motores de bases de datos que requieren un reinicio, en Programación de modificaciones, selecciona Aplicar durante el siguiente periodo de mantenimiento programado.
7. Elige Modificar la instancia de base de datos.

Aplicación de conexiones SSL/TLS

Para aplicar conexiones SSL/TLS para Amazon RDS y la edición de Aurora compatible con MySQL, sigue estos pasos:

1. Crea un grupo de parámetros personalizado o utiliza un grupo de parámetros existente para la instancia de base de datos.
   O bien, crea un grupo de parámetros de clúster personalizado o utiliza un grupo de parámetros de clúster existente para tu clúster de base de datos.
2. En el grupo de parámetros personalizados, define el parámetro require_secure_transport en ACTIVADO. Este parámetro es dinámico y se aplica inmediatamente sin necesidad de reiniciar.

Después de activar el parámetro require_secure_transport, debes usar las CA al establecer conexiones a la instancia de base de datos o al clúster. Para obtener más información, consulta Descarga de paquetes de certificados para Amazon RDS.

Para obtener información sobre cómo actualizar las aplicaciones para los certificados SSL/TLS, consulta la siguiente documentación de AWS:

• Actualización de aplicaciones para la conexión a las instancias de base de datos de MySQL con los nuevos certificados SSL/TLS
• Actualización de aplicaciones para la conexión a las instancias de MariaDB con los nuevos certificados SSL/TLS
• Actualización de aplicaciones para la conexión a las instancias de base de datos de PostgreSQL con los nuevos certificados SSL/TLS
• Actualización de aplicaciones para la conexión a las instancias de base de datos de Microsoft SQL Server con los nuevos certificados SSL/TLS
• Actualización de aplicaciones para la conexión a las instancias de base de datos de Oracle con los nuevos certificados SSL/TLS

Nota: Cuando utilizas el modo SSL preferido y la CA no existe o no está actualizada, la conexión se conecta sin cifrado. No se recomienda usar el modo preferido.

Si no puedes establecer una conexión cifrada, es posible que recibas el siguiente mensaje de error:

«MySQL Error 3159 (HY000): Connections using insecure transport are prohibited while —require_secure_transport=ON».

Para resolver este problema, ejecuta el siguiente comando:

mysql -h yourEndpoint -P 3306 -u yourUserName -pYourPassword --ssl-ca=full_path_to_CA_certificate

Nota: Sustituye los valores del ejemplo por tus valores.

Actualización de los almacenes de confianza de aplicaciones

Después de rotar el certificado en la instancia de base de datos, debes actualizar los almacenes de confianza con la nueva CA.

Nota: Los pasos para actualizar los almacenes de confianza pueden variar según el certificado.

En la consola de Amazon RDS, el certificado SSL/TLS contiene una fecha de autoridad de certificación y una fecha de vencimiento del certificado de instancia de base de datos. La fecha de autoridad de certificación es la fecha de vencimiento de la CA raíz. La fecha de vencimiento del certificado de la instancia de base de datos es la fecha de vencimiento del certificado de la instancia. RDS gestiona automáticamente la rotación del certificado del servidor de base de datos y utiliza la misma CA raíz para la rotación. No es necesario descargar un nuevo paquete de CA.

Información relacionada

Cifrado de recursos de Amazon RDS

Actualización de la versión del certificado de CA para tu base de datos de Amazon Lightsail

Uso de SSL con una instancia de base de datos de Amazon RDS para Db2