Amazon RDS 및 Aurora 데이터베이스의 SSL/TLS 인증서를 업데이트하여 보안 연결을 만들려면 어떻게 해야 합니까?

해결 방법

현재 SSL/TLS 인증서 확인

다음 단계를 완료하십시오.

1. Amazon RDS 콘솔을 엽니다.
2. 탐색 창에서 데이터베이스를 선택한 다음, Amazon RDS 또는 Aurora 데이터베이스를 선택합니다.
3. 연결 및 보안에서 데이터베이스가 사용하는 인증 기관(CA)의 보안 섹션을 검토합니다.

참고: Amazon RDS 및 Aurora 데이터베이스에서 사용할 수 있는 CA 목록은 인증 기관을 참조하십시오.

SSL/TLS 인증서 업데이트

다음 단계를 완료하십시오.

1. Amazon RDS 콘솔을 엽니다.
2. 탐색 창에서 데이터베이스를 선택한 다음, Amazon RDS 또는 Aurora 데이터베이스를 선택합니다.
3. 수정을 선택합니다.
4. 연결에서 인증 기관을 선택합니다.
5. 인증 기관에서 계속을 선택한 다음, 수정 사항을 검토합니다.
6. 재부팅 없이 인증서 교체를 지원하는 데이터베이스 엔진의 경우 즉시 적용을 선택합니다.
   참고: 즉시 적용을 선택하지 않으면 다음 유지 관리 기간에 변경 사항이 적용됩니다.
   재부팅이 필요한 데이터베이스 엔진의 경우 수정 예약에서 예약된 다음 유지 관리 기간 중에 적용을 선택합니다.
7. DB 인스턴스 수정을 선택합니다.

SSL/TLS 연결 적용

Amazon RDS 및 Aurora MySQL 호환 버전에 SSL/TLS 연결을 적용하려면 다음 단계를 완료하십시오.

1. 사용자 지정 파라미터 그룹을 만들거나 데이터베이스 인스턴스의 기존 파라미터 그룹을 사용합니다.
   또는 사용자 지정 클러스터 파라미터 그룹을 만들거나 데이터베이스 클러스터의 기존 클러스터 파라미터 그룹을 사용합니다.
2. 사용자 지정 파라미터 그룹에서 require_secure_transport 파라미터를 ON으로 설정합니다. 이 파라미터는 동적이며 재부팅하지 않아도 즉시 적용됩니다.

require_secure_transport 파라미터를 활성화한 후에는 데이터베이스 인스턴스 또는 클러스터에 연결을 설정할 때 CA를 사용해야 합니다. 자세한 내용은 Amazon RDS용 인증서 번들 다운로드를 참조하십시오.

SSL/TLS 인증서에 대한 애플리케이션을 업데이트하는 방법에 대한 자세한 내용은 다음 AWS 설명서를 참조하십시오.

• 새 SSL/TLS 인증서를 사용하여 MySQL DB 인스턴스에 연결하도록 애플리케이션 업데이트
• 새 SSL/TLS 인증서를 사용하여 MariaDB 인스턴스에 연결하도록 애플리케이션 업데이트
• 새 SSL/TLS 인증서를 사용하여 PostgreSQL DB 인스턴스에 연결하도록 애플리케이션 업데이트
• 새 SSL/TLS 인증서를 사용하여 Microsoft SQL Server DB 인스턴스에 연결하도록 애플리케이션 업데이트
• 새 SSL/TLS 인증서를 사용하여 Oracle DB 인스턴스에 연결하도록 애플리케이션 업데이트

참고: 기본 설정 SSL 모드를 사용하고 CA가 없거나 최신 상태가 아닌 경우 연결이 암호화 없이 연결됩니다. 기본 설정 모드를 사용하는 것은 모범 사례가 아닙니다.

암호화된 연결을 설정할 수 없는 경우 다음과 같은 오류 메시지가 표시될 수 있습니다.

"MySQL Error 3159 (HY000): Connections using insecure transport are prohibited while —require_secure_transport=ON."

이 문제를 해결하려면 다음 명령을 실행합니다.

mysql -h yourEndpoint -P 3306 -u yourUserName -pYourPassword --ssl-ca=full_path_to_CA_certificate

참고: 예시 값을 사용자 값으로 바꾸십시오.

애플리케이션 트러스트 스토어 업데이트

데이터베이스 인스턴스에서 인증서를 교체한 후에는 새 CA로 트러스트 스토어를 업데이트해야 합니다.

참고: 트러스트 스토어를 업데이트하는 단계는 인증서에 따라 다를 수 있습니다.

Amazon RDS 콘솔에서 SSL/TLS 인증서에는 인증 기관 날짜 및 DB 인스턴스 인증서 만료 날짜가 포함됩니다. 인증 기관 날짜는 루트 CA의 만료 날짜입니다. DB 인스턴스 인증서 만료 날짜는 인스턴스에 있는 인증서의 만료 날짜입니다. RDS는 DB 서버 인증서의 교체를 자동으로 처리하고 교체에 동일한 루트 CA를 사용합니다. 새 CA 번들을 다운로드할 필요가 없습니다.

관련 정보

Amazon RDS 리소스 암호화

Amazon Lightsail 데이터베이스의 CA 인증서 버전 업데이트

Amazon RDS for Db2 DB 인스턴스에서 SSL/TLS 사용