Perché ricevo l'errore "SSLHandshakeFailed" quando provo a connettermi al mio cluster Amazon DocumentDB?

Breve descrizione

Per impostazione predefinita, Amazon DocumentDB attiva la configurazione Secure Socket Layer (SSL) o Transport Layer Security (TLS) e consente solo connessioni crittografate. Se l'applicazione non utilizza connessioni SSL/TLS, imposta un gruppo di parametri personalizzato per del cluster Amazon DocumentDB in modo da disattivare questa opzione. Per ulteriori informazioni, consulta Gestione delle impostazioni TLS del cluster Amazon DocumentDB.

Nota: TLS è un parametro statico. Devi riavviare il cluster per applicare tutte le modifiche al gruppo di parametri del cluster. Per ulteriori informazioni, consulta Modifica dei parametri del cluster Amazon DocumentDB.

Potresti ricevere un errore "SSLHandshakeFailed" per uno dei seguenti motivi:

• Se rinomini il cluster o l'istanza Amazon DocumentDB, si verifica un'incoerenza del certificato SSL.
• Ti connetti al cluster dall'esterno di un cloud privato virtuale (VPC) con tunneling SSH.
• Crei un record CNAME in Amazon Route 53 per l'endpoint di Amazon DocumentDB.

Risoluzione

Risolvi l'incoerenza del certificato SSL

Quando crei un'istanza Amazon DocumentDB, Amazon DocumentDB crea e assegna automaticamente un certificato SSL all'istanza database. Il certificato SSL contiene informazioni sul cluster di database, sulle istanze e sui relativi endpoint. Se modifichi il nome di un cluster o il nome di un'istanza, si verifica un'incoerenza a livello di certificato.

Per aggiornare il certificato, riavvia il cluster Amazon DocumentDB. Utilizza l'opzione sslAllowInvalidHostnames o tlsAllowInvalidHostnames della stringa di connessione come soluzione temporanea.

Risolvi i problemi con le connessioni dall'esterno del VPC con tunneling SSH

Quando ti connetti al cluster Amazon DocumentDB dall'esterno di un VPC, il tunneling SSH utilizza il nome host dell'istanza Amazon Elastic Compute Cloud (Amazon EC2) intermedia. Se effettui una connessione SSL/TLS, il client si aspetta che il nome host corrisponda all'endpoint di Amazon DocumentDB indicato nel certificato.

Per disattivare la convalida del nome host, utilizza l'opzione sslAllowInvalidHostnames o tlsAllowInvalidHostnames nella stringa di connessione.

Nota: quando utilizzi un tunnel SSH, non specificare replicaSet=RS0 nella stringa di connessione per connetterti in modalità set di repliche. La configurazione del tunnel non può convalidare il riconoscimento di rs0 come configurazione del set di repliche e ricevi un errore quando tenti di connetterti in modalità set di repliche.

Risolvi i problemi con le connessioni SSL che utilizzano un CNAME di Route 53 gestito dal cliente

Se utilizzi SSL/TLS per connetterti a un record CNAME di Route 53 gestito dal cliente, il nome del record di Route 53 deve corrispondere al nome del cluster di database. Ricevi un errore perché il nome host non è lo stesso indicato nel certificato SSL della risorsa di Amazon DocumentDB.

Amazon DocumentDB non consente di caricare certificati personalizzati contenenti le informazioni necessarie per stabilire la connessione SSL tramite un record CNAME. Utilizza invece il flag equivalente per ignorare il controllo del nome host quando l'utente finale si connette tramite il record CNAME, come sslAllowInvalidHostnames o tlsAllowInvalidHostnames.

Nota: è consigliabile non utilizzare sslAllowInvalidHostnames o tlsAllowInvalidHostnames in produzione.

Informazioni correlate

Connessione a un cluster Amazon DocumentDB dall'esterno di un Amazon VPC

Connessione ad Amazon DocumentDB come set di repliche

Risoluzione dei problemi di connessione

Crittografia dei dati in transito