Verwaltung der Cluster-TLS-Einstellungen

Verschlüsseln von Daten während der Übertragung

Sie können Transport Layer Security (TLS) verwenden, um die Verbindung zwischen Ihrer Anwendung und einem Amazon DocumentDB-Cluster zu verschlüsseln. Standardmäßig ist die Verschlüsselung bei der Übertragung für neu erstellte Amazon DocumentDB-Cluster aktiviert. Sie kann bei der Erstellung des Clusters oder zu einem späteren Zeitpunkt optional deaktiviert werden. Wenn die Verschlüsselung während der Übertragung aktiviert ist, sind sichere Verbindungen mit TLS erforderlich, um eine Verbindung mit dem Cluster herzustellen. Weitere Informationen zum Herstellen einer Verbindung zu Amazon DocumentDB über TLS finden Sie unter Programmgesteuertes Herstellen einer Verbindung zu Amazon DocumentDB.

Verwaltung der TLS-Einstellungen für den Amazon DocumentDB-Cluster

Die Verschlüsselung bei der Übertragung für einen Amazon DocumentDB-Cluster wird über den TLS-Parameter in einem Cluster-Parametergruppe. Sie können Ihre Amazon DocumentDB-Cluster-TLS-Einstellungen mit dem AWS-Managementkonsole oder der AWS Command Line Interface (AWS CLI). In den folgenden Abschnitten finden Sie weitere Informationen zum Überprüfen und Ändern Ihrer aktuellen TLS-Einstellungen.

Using the AWS-Managementkonsole

Folgen Sie diesen Schritten, um Verwaltungsaufgaben für die TLS-Verschlüsselung mithilfe der Konsole durchzuführen, z. B. das Identifizieren von Parametergruppen, das Überprüfen des TLS-Werts und das Vornehmen der erforderlichen Änderungen.

Anmerkung

Sofern Sie beim Erstellen eines Clusters keine andere Angabe machen, wird Ihr Cluster mit der standardmäßigen Cluster-Parametergruppe erstellt. Die Parameter in der default Die Cluster-Parametergruppe kann nicht geändert werden (z. B. tls enabled/disabled). Wenn Ihr Cluster also eine default-Cluster-Parametergruppe verwendet, müssen Sie den Cluster so ändern, dass er eine nicht standardmäßige Cluster-Parametergruppe verwendet. Zuerst müssen Sie möglicherweise eine benutzerdefinierte Cluster-Parametergruppe erstellen. Weitere Informationen finden Sie unter Erstellen von Amazon DocumentDB-Cluster-Parametergruppen.

Bestimmen Sie, welche Cluster-Parametergruppe Ihr Cluster verwendet.
1. Öffnen Sie die Amazon DocumentDB-Konsole unter https://console.aws.amazon.com/docdb.
2. Klicken Sie im Navigationsbereich auf Cluster.
  
  Tipp
  Wenn der Navigationsbereich auf der linken Seite des Bildschirms nicht angezeigt wird, wählen Sie links oben auf der Seite das Menüsymbol () aus.
3. Beachten Sie das in der Cluster Navigationsfeld, die Spalte Cluster-Kennung zeigt sowohl Cluster als auch Instanzen an. Instanzen werden unter Clustern aufgeführt. Sehen Sie sich den folgenden Screenshot als Referenz an.
4. Wählen Sie den Cluster aus, an dem Sie interessiert sind.
5. Wählen Sie den Konfiguration klicken Sie auf die Registerkarte und scrollen Sie bis zum Ende von Cluster-Details und lokalisieren Sie den Cluster-Parametergruppe. Der Name der Cluster-Parametergruppe.
  
  Wenn der Name der Cluster-Parametergruppe default lautet (z. B. default.docdb3.6), müssen Sie eine benutzerdefinierte Cluster-Parametergruppe erstellen und diese zur Parametergruppe des Clusters machen, bevor Sie fortfahren. Weitere Informationen finden Sie hier:
  1. Erstellen von Amazon DocumentDB-Cluster-Parametergruppen — Wenn Sie keine benutzerdefinierte Cluster-Parametergruppe haben, die Sie verwenden können, erstellen Sie eine.
  2. Ändern eines Amazon DocumentDB-Clusters — Ändern Sie Ihren Cluster so, dass er die benutzerdefinierte Cluster-Parametergruppe verwendet.
Bestimmen Sie den aktuellen Wert des tls-Cluster-Parameters.
1. Öffnen Sie die Amazon DocumentDB-Konsole unter https://console.aws.amazon.com/docdb.
2. Wählen Sie im Navigationsbereich Parameter groups (Parametergruppen) aus.
3. Wählen Sie aus der Liste der Cluster-Parametergruppen den Namen der von Ihnen gewünschten Cluster-Parametergruppe aus.
4. Suchen Sie den Abschnitt Cluster-Parameter. Suchen Sie in der Liste der Cluster-Parameter die Zeile des tls-Cluster-Parameters. An dieser Stelle sind die folgenden vier Spalten wichtig:
  - Name des Cluster-Parameters — Der Name der Cluster-Parameter. Für die Verwaltung von TLS benötigen Sie den tls-Cluster-Parameter.
  - Werte — Der aktuelle Wert jedes Cluster-Parameters.
  - Erlaubte Werte — Eine Liste von Werten, die auf einen Clusterparameter angewendet werden können.
  - Typ anwenden — Entweder statische oder dynamisch. Änderungen an statischen Cluster-Parametern können nur übernommen werden, wenn die Instances neu gestartet werden. Änderungen an dynamischen Cluster-Parametern können entweder sofort übernommen werden oder wenn die Instances neu gestartet werden.
Ändern Sie den Wert des tls-Cluster-Parameters.

Wenn der Wert für tls nicht der benötigte Wert ist, ändern Sie ihn für diese Cluster-Parametergruppe. Um den Wert des tls-Cluster-Parameters zu ändern, fahren Sie nach dem vorherigen Abschnitt mit folgenden Schritten fort.
1. Wählen Sie die Schaltfläche links neben dem Namen des Cluster-Parameters (tls).
2. Wählen Sie Bearbeiten aus.
3. Um den Wert von zu ändern tls, in der Ändern tls Wählen Sie im Dialogfeld den gewünschten Wert für den Cluster-Parameter in der Dropdownliste aus.
  
  Folgende sind gültige Werte:
  - Behinderte — Deaktiviert TLS
  - aktiviert — Aktiviert TLS. Für Amazon DocumentDB 5.0 und früher aktiviert dies TLS 1.0 bis 1.3, verwenden Sie jedoch TLS 1.2 oder höher. Ab der Nebenversion 5.0.1, Amazon DocumentDB 8.0 und neuer wird auf Amazon DocumentDB 5.0 nur TLS 1.2 und höher unterstützt.
  - fips-140-3 — Aktiviert TLS mit FIPS. Der Cluster akzeptiert nur sichere Verbindungen gemäß den Anforderungen der FIPS-Publikation 140-3 (Federal Information Processing Standards). Dies wird erst ab Amazon DocumentDB 5.0 (Engine-Version 3.0.3727) in den folgenden Regionen unterstützt: ca-central-1, us-west-2, us-east-1, us-east-2, us-gov-east-1, us-gov-west-1.
  - tls1.2+ — Aktiviert TLS Version 1.2 und höher. Dies wird erst ab Amazon DocumentDB 4.0 (Engine-Version 2.0.10980) und Amazon DocumentDB (Engine-Version 3.0.11051) unterstützt.
  - tls1.3+ — Aktiviert TLS Version 1.3 und höher. Dies wird erst ab Amazon DocumentDB 4.0 (Engine-Version 2.0.10980) und Amazon DocumentDB (Engine-Version 3.0.11051) unterstützt.
4. Wählen Sie Modify Cluster Parameter (Cluster-Parameter ändern). Die Änderung wird beim Neustart auf jede Cluster-Instance angewendet.
Starten Sie die Amazon DocumentDB-Instance neu.

Starten Sie jede Instance des Clusters neu, sodass die Änderung für alle Instances im Cluster übernommen wird.
1. Öffnen Sie die Amazon DocumentDB-Konsole unter https://console.aws.amazon.com/docdb.
2. Wählen Sie im Navigationsbereich Instances aus.
3. Um eine Instance anzugeben, die neu gestartet werden soll, suchen Sie die Instance in der Liste der Instances und wählen Sie die Schaltfläche links neben dem Namen aus.
4. Wählen Sie Actions (Aktionen) und dann Reboot (Neustart) aus. Bestätigen Sie, dass Sie neu starten möchten, indem Sie auf Reboot (Neustart) klicken.

Using the AWS CLI

Folgen Sie diesen Schritten, um Verwaltungsaufgaben für die TLS-Verschlüsselung mithilfe der AWS CLI— z. B. das Identifizieren von Parametergruppen, das Überprüfen des TLS-Werts und das Vornehmen der erforderlichen Änderungen.

Anmerkung

Sofern Sie beim Erstellen eines Clusters keine andere Angabe machen, wird Ihr Cluster mit der standardmäßigen Cluster-Parametergruppe erstellt. Die Parameter in der default Die Cluster-Parametergruppe kann nicht geändert werden (z. B. tls enabled/disabled). Wenn Ihr Cluster also eine default-Cluster-Parametergruppe verwendet, müssen Sie den Cluster so ändern, dass er eine nicht standardmäßige Cluster-Parametergruppe verwendet. Möglicherweise müssen Sie zuerst eine benutzerdefinierte Cluster-Parametergruppe erstellen. Weitere Informationen finden Sie unter Erstellen von Amazon DocumentDB-Cluster-Parametergruppen.

Bestimmen Sie, welche Cluster-Parametergruppe Ihr Cluster verwendet.

Führen Sie das aus describe-db-clusters Befehl mit den folgenden Optionen:
- --db-cluster-identifier
- --query
Ersetzen Sie im folgenden Beispiel die einzelnen user input placeholder mit den Informationen Ihres Clusters.
```
aws docdb describe-db-clusters \
  --db-cluster-identifier mydocdbcluster \
  --query 'DBClusters[*].[DBClusterIdentifier,DBClusterParameterGroup]'
```
Die Ausgabe dieser Operation sieht ungefähr wie folgt aus (JSON-Format):
```
[
    [
        "mydocdbcluster",
        "myparametergroup"
    ]
]
```
Wenn der Name der Cluster-Parametergruppe default lautet (z. B. default.docdb3.6), benötigen Sie eine benutzerdefinierte Cluster-Parametergruppe und müssen diese zur Parametergruppe des Clusters machen, bevor Sie fortfahren. Weitere Informationen finden Sie unter den folgenden Themen:
1. Erstellen von Amazon DocumentDB-Cluster-Parametergruppen — Wenn Sie keine benutzerdefinierte Cluster-Parametergruppe haben, die Sie verwenden können, erstellen Sie eine.
2. Ändern eines Amazon DocumentDB-Clusters — Ändern Sie Ihren Cluster so, dass er die benutzerdefinierte Cluster-Parametergruppe verwendet.
Bestimmen Sie den aktuellen Wert des tls-Cluster-Parameters.

Um weitere Informationen über diese Cluster-Parametergruppe zu erhalten, führen Sie den Befehl aus describe-db-cluster-parameters Befehl mit den folgenden Optionen:
- --db-cluster-parameter-group-name
- --query
  
  Beschränkt die Ausgabe nur auf die Interessenfelder: ParameterName, ParameterValue,AllowedValues, und ApplyType.
Ersetzen Sie im folgenden Beispiel jedes user input placeholder mit den Informationen Ihres Clusters.
```
aws docdb describe-db-cluster-parameters \
  --db-cluster-parameter-group-name myparametergroup \
  --query 'Parameters[*].[ParameterName,ParameterValue,AllowedValues,ApplyType]'
```
Die Ausgabe dieser Operation sieht ungefähr wie folgt aus (JSON-Format):
```
[
    [
        "audit_logs",
        "disabled",
        "enabled,disabled",
        "dynamic"
    ],
    [
        "tls",
        "disabled",
        "disabled,enabled,fips-140-3,tls1.2+,tls1.3+",
        "static"
    ],
    [
        "ttl_monitor",
        "enabled",
        "disabled,enabled",
        "dynamic"
    ]
]
```
Ändern Sie den Wert des tls-Cluster-Parameters.

Wenn der Wert für tls nicht der benötigte Wert ist, ändern Sie ihn für diese Cluster-Parametergruppe. Um den Wert von zu ändern tls Cluster-Parameter, führen Sie den aus modify-db-cluster-parameter-group Befehl mit den folgenden Optionen:
- --db-cluster-parameter-group-name – Erforderlich. Der Name der zu ändernden Cluster-Parametergruppe. Dabei darf es sich nicht um eine default.*-Cluster-Parametergruppe handeln.
- --parameters – Erforderlich. Eine Liste der zu ändernden Parameter der Cluster- Parametergruppe.
  - ParameterName – Erforderlich. Der Name des zu ändernden Cluster-Parameters.
  - ParameterValue – Erforderlich. Der neue Wert für diesen Cluster-Parameter. Muss einer der AllowedValues des Cluster-Parameters sein.
    
    enabled — Der Cluster akzeptiert sichere Verbindungen mit TLS. Für Amazon DocumentDB 5.0 und früher aktiviert dies TLS 1.0 bis 1.3, verwenden Sie jedoch TLS 1.2 oder höher. Ab der Nebenversion 5.0.1, Amazon DocumentDB 8.0 und neuer wird auf Amazon DocumentDB 5.0 nur TLS 1.2 und höher unterstützt.
    
    disabled — Der Cluster akzeptiert keine sicheren Verbindungen mit TLS.
    
    fips-140-3 — Der Cluster akzeptiert nur sichere Verbindungen gemäß den Anforderungen der FIPS-Publikation 140-3 (Federal Information Processing Standards). Dies wird erst ab Amazon DocumentDB 5.0 (Engine-Version 3.0.3727) in den folgenden Regionen unterstützt: ca-central-1, us-west-2, us-east-1, us-east-2, us-gov-east-1, us-gov-west-1.
    
    tls1.2+ — Der Cluster akzeptiert sichere Verbindungen mit TLS Version 1.2 und höher. Dies wird erst ab Amazon DocumentDB 4.0 (Engine-Version 2.0.10980) und Amazon DocumentDB 5.0 (Engine-Version 3.0.11051) unterstützt.
    
    tls1.3+ — Der Cluster akzeptiert sichere Verbindungen mit TLS Version 1.3 und höher. Dies wird erst ab Amazon DocumentDB 4.0 (Engine-Version 2.0.10980) und Amazon DocumentDB 5.0 (Engine-Version 3.0.11051) unterstützt.
  - ApplyMethod — Wann diese Änderung angewendet werden soll. Für statische Cluster-Parameter wie tle muss dieser Wert pending-reboot lauten.
    
    pending-reboot — Die Änderung wird erst auf eine Instanz angewendet, nachdem sie neu gestartet wurde. Sie müssen jede Cluster-Instance einzeln neu starten, damit die Änderung für alle Instances des Clusters übernommen wird.
Ersetzen Sie in den folgenden Beispielen die einzelnen user input placeholder mit den Informationen Ihres Clusters.

Der folgende Code deaktiviert tlsund wendet die Änderung auf jede Instanz an, wenn sie neu gestartet wird.
```
aws docdb modify-db-cluster-parameter-group \
  --db-cluster-parameter-group-name myparametergroup \
  --parameters "ParameterName=tls,ParameterValue=disabled,ApplyMethod=pending-reboot"
```
Der folgende Code aktiviert tlsund wendet die Änderung auf jede Instanz an, wenn sie neu gestartet wird.
```
aws docdb modify-db-cluster-parameter-group \
  --db-cluster-parameter-group-name myparametergroup \
  --parameters "ParameterName=tls,ParameterValue=enabled,ApplyMethod=pending-reboot"
```
Der folgende Code aktiviert TLS mit fips-140-3, wobei die Änderung auf jede Instanz angewendet wird, wenn sie neu gestartet wird.
```
aws docdb modify-db-cluster-parameter-group \
  ‐‐db-cluster-parameter-group-name myparametergroup2 \
  ‐‐parameters "ParameterName=tls,ParameterValue=fips-140-3,ApplyMethod=pending-reboot"
```
Die Ausgabe dieser Operation sieht ungefähr wie folgt aus (JSON-Format):
```
{
    "DBClusterParameterGroupName": "myparametergroup"
}
```

Starten Sie Ihre Amazon DocumentDB-Instance neu.

Starten Sie jede Instance des Clusters neu, sodass die Änderung für alle Instances im Cluster übernommen wird. Um eine Amazon DocumentDB-Instance neu zu starten, führen Sie den reboot-db-instance Befehl mit der folgenden Option:

--db-instance-identifier

Der folgende Code startet die Instance mydocdbinstance neu.

Ersetzen Sie in den folgenden Beispielen die einzelnen user input placeholder mit den Informationen Ihres Clusters.

Beispiel

Für Linux, macOS oder Unix:


aws docdb reboot-db-instance \
  --db-instance-identifier mydocdbinstance

Für Windows:


aws docdb reboot-db-instance ^
  --db-instance-identifier mydocdbinstance

Die Ausgabe dieser Operation sieht ungefähr wie folgt aus (JSON-Format):


{
    "DBInstance": {
        "AutoMinorVersionUpgrade": true,
        "PubliclyAccessible": false,
        "PreferredMaintenanceWindow": "fri:09:32-fri:10:02",
        "PendingModifiedValues": {},
        "DBInstanceStatus": "rebooting",
        "DBSubnetGroup": {
            "Subnets": [
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1a"
                    },
                    "SubnetIdentifier": "subnet-4e26d263"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1c"
                    },
                    "SubnetIdentifier": "subnet-afc329f4"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1e"
                    },
                    "SubnetIdentifier": "subnet-b3806e8f"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1d"
                    },
                    "SubnetIdentifier": "subnet-53ab3636"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1b"
                    },
                    "SubnetIdentifier": "subnet-991cb8d0"
                },
                {
                    "SubnetStatus": "Active",
                    "SubnetAvailabilityZone": {
                        "Name": "us-east-1f"
                    },
                    "SubnetIdentifier": "subnet-29ab1025"
                }
            ],
            "SubnetGroupStatus": "Complete",
            "DBSubnetGroupDescription": "default",
            "VpcId": "vpc-91280df6",
            "DBSubnetGroupName": "default"
        },
        "PromotionTier": 2,
        "DBInstanceClass": "db.r5.4xlarge",
        "InstanceCreateTime": "2018-11-05T23:10:49.905Z",
        "PreferredBackupWindow": "00:00-00:30",
        "KmsKeyId": "arn:aws:kms:us-east-1:012345678901:key/0961325d-a50b-44d4-b6a0-a177d5ff730b",
        "StorageEncrypted": true,
        "VpcSecurityGroups": [
            {
                "Status": "active",
                "VpcSecurityGroupId": "sg-77186e0d"
            }
        ],
        "EngineVersion": "3.6.0",
        "DbiResourceId": "db-SAMPLERESOURCEID",
        "DBInstanceIdentifier": "mydocdbinstance",
        "Engine": "docdb",
        "AvailabilityZone": "us-east-1a",
        "DBInstanceArn": "arn:aws:rds:us-east-1:012345678901:db:sample-cluster-instance-00",
        "BackupRetentionPeriod": 1,
        "Endpoint": {
            "Address": "mydocdbinstance.corcjozrlsfc.us-east-1.docdb.amazonaws.com",
            "Port": 27017,
            "HostedZoneId": "Z2R2ITUGPM61AM"
        },
        "DBClusterIdentifier": "mydocdbcluster"
    }
}

Es dauert einige Minuten, bis Ihre Instance neu gestartet wird. Sie können die Instance nur verwenden, wenn ihr Status available ist. Sie können mit der Konsole oder der AWS CLI den Status der Instance überwachen. Weitere Informationen finden Sie unter Überwachung des Status einer Amazon DocumentDB-Instance.

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Verschlüsseln von Daten im Ruhezustand

Schlüsselverwaltung

Verschlüsseln von Daten während der Übertragung

Verwaltung der TLS-Einstellungen für den Amazon DocumentDB-Cluster

Anmerkung

Tipp

Anmerkung

Beispiel