Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Oracle Secure Sockets Layer (SSL)
Pour activer le chiffrement SSL pour une instance de base de données RDS for Oracle, ajoutez l’option Oracle SSL au groupe d’options associé avec l’instance de base de données. Amazon RDS utilise un deuxième port, comme l'exige Oracle, pour les connexions SSL. Cette approche permet à la fois d'établir un texte clair et une SSL-encrypted communication entre une instance de base de données et SQL*Plus. Par exemple, vous pouvez utiliser le port avec communication en texte clair pour communiquer avec d'autres ressources au sein d'un VPC tout en utilisant le port avec SSL-encrypted communication pour communiquer avec des ressources extérieures au VPC.
Note
Vous pouvez utiliser SSL ou Native Network Encryption (NNE), mais pas les deux, sur la même instance de base de données RDS for Oracle. Si vous utilisez le chiffrement SSL, veillez à désactiver tout autre chiffrement de connexion. Pour de plus amples informations, veuillez consulter Oracle NNE (Native Network Encryption).
SSL/TLS et NNE ne font plus partie d'Oracle Advanced Security. Dans RDS for Oracle, vous pouvez utiliser le chiffrement SSL avec toutes les éditions sous licence des versions de base de données suivantes :
-
Base de données Oracle 26ai (26.0.0.0)
-
Oracle Database 21c (21.0.0.0)
-
Oracle Database 19c (19.0.0.0)
Note
Pour Oracle Database 26ai, l'option Oracle SSL ne prend en charge que le protocole TLS 1.2, et la suite de chiffrement par défaut est. TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 Oracle Database 26ai prend en charge les suites de chiffrement suivantes :
-
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384(par défaut) -
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 -
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 -
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
Rubriques
Versions TLS pour l'option Oracle SSL
Amazon RDS for Oracle prend en charge le protocole TLS (Transport Layer Security) version 1.0 et 1.2. Lorsque vous ajoutez une nouvelle option Oracle SSL, définissez SQLNET.SSL_VERSION explicitement sur une valeur valide. Le tableau suivant indique les valeurs autorisées pour ce paramètre d'option :
| Value | Versions Oracle prises en charge | Description |
|---|---|---|
"1.0" |
19c, 21c | Les clients peuvent se connecter à l'instance de base de données à l'aide de TLS version 1.0 uniquement. Pour les options Oracle SSL existantes, SQLNET.SSL_VERSION est défini automatiquement sur "1.0". Vous pouvez modifier au besoin ce paramètre. |
"1.2" |
Tous | Les clients peuvent se connecter à l'instance de base de données à l'aide du protocole TLS 1.2 uniquement. |
"1.2 or 1.0" |
19c, 21c | Les clients peuvent se connecter à l'instance de base de données à l'aide de TLS 1.2 ou 1.0. |
Suites de chiffrement pour l'option Oracle SSL
Amazon RDS for Oracle prend en charge plusieurs suites de chiffrement SSL. Par défaut, l'option Oracle SSL est configurée pour utiliser la suite de SSL_RSA_WITH_AES_256_CBC_SHA chiffrement pour Oracle Database 19c et Oracle Database 21c. Pour Oracle Database 26ai, la suite de chiffrement par défaut est. TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 Pour indiquer une autre suite de chiffrement à utiliser sur les connexions SSL, utilisez le paramètre d'option SQLNET.CIPHER_SUITE.
Vous pouvez spécifier plusieurs valeurs pour SQLNET.CIPHER_SUITE. Cette technique est utile si vous avez des liens de base de données entre vos instances de base de données et que vous décidez de mettre à jour vos suites de chiffrement.
Le tableau suivant récapitule le support SSL pour RDS pour Oracle dans toutes les éditions d'Oracle Database 19c, 21c et 26ai.
| Suite de chiffrement (SQLNET.CIPHER_SUITE) | Prise en charge des versions TLS (SQLNET.SSL_VERSION) | Support FIPS | Conforme au programme FedRAMP | Versions Oracle prises en charge |
|---|---|---|---|---|
| SSL_RSA_WITH_AES_256_CBC_SHA (par défaut pour 19c et 21c) | 1.0 et 1.2 | Oui | Non | 19c, 21c |
| SSL_RSA_WITH_AES_256_CBC_SHA256 | 1.2 | Oui | Non | 19c, 21c |
| SSL_RSA_WITH_AES_256_GCM_SHA384 | 1.2 | Oui | Non | 19c, 21c |
| TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (par défaut pour 26ai) | 1.2 | Oui | Oui | 19 cm, 21 cm, 26 ai |
| TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | 1.2 | Oui | Oui | 19c, 21c |
| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 | 1.2 | Oui | Oui | 19 cm, 21 cm, 26 ai |
| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | 1.2 | Oui | Oui | 19c, 21c |
| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA | 1.2 | Oui | Oui | 19c, 21c |
| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA | 1.2 | Oui | Oui | 19c, 21c |
| TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | 1.2 | Oui | Oui | 19 cm, 21 cm, 26 ai |
| TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 | 1.2 | Oui | Oui | 19 cm, 21 cm, 26 ai |
Support FIPS
RDS for Oracle vous permet d'utiliser la norme FIPS (Federal Information Processing Standard) 140-2. FIPS 140-2 est une norme du gouvernement américain qui définit les exigences de sécurité du module de chiffrement. Pour activer la norme FIPS, définissez FIPS.SSLFIPS_140 sur TRUE pour l'option Oracle SSL. Quand la norme FIPS 140-2 est configurée pour SSL, les bibliothèques de chiffrement chiffrent les données entre le client et l'instance de base de données RDS for Oracle.
Les clients doivent utiliser la suite de chiffrement correspondante. FIPS-compliant Lors de l'établissement d'une connexion, le client et l'instance de base de données RDS for Oracle négocient quelle la suite de chiffrement utiliser lors de la transmission de messages dans les deux sens. Le tableau ci-dessous Suites de chiffrement pour l'option Oracle SSL indique les suites de chiffrement FIPS-compliant SSL pour chaque version de TLS. Pour plus d'informations, consultez Paramètres FIPS 140-2 d'Oracle Database
Compatibilité des certificats avec les suites de chiffrement
RDS for Oracle prend en charge à la fois les certificats RSA et ECDSA (Elliptic Curve Digital Signature Algorithm). Lorsque vous configurez le protocole SSL pour votre instance de base de données, vous devez vous assurer que les suites de chiffrement que vous spécifiez dans le paramètre d’option SQLNET.CIPHER_SUITE sont compatibles avec le type de certificat utilisé par votre instance de base de données.
Le tableau suivant montre la compatibilité entre les types de certificats et les suites de chiffrement :
| Type de certificat | Suites de chiffrement compatibles | Suites de chiffrement incompatibles |
|---|---|---|
| Certificats RSA (rds-ca-2019, rds-ca-rsa2048-g1, rds-ca-rsa4096-g1) |
SSL_RSA_WITH_AES_256_CBC_SHA SSL_RSA_WITH_AES_256_CBC_SHA256 SSL_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
| Certificats ECDSA (rds-ca-ecc384-g1) |
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
SSL_RSA_WITH_AES_256_CBC_SHA SSL_RSA_WITH_AES_256_CBC_SHA256 SSL_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
Lorsque vous spécifiez plusieurs suites de chiffrement dans le paramètre d’option SQLNET.CIPHER_SUITE, assurez-vous d’inclure au moins une suite de chiffrement compatible avec le type de certificat utilisé par votre instance de base de données. Si vous utilisez un groupe d’options avec plusieurs instances de base de données ayant différents types de certificats, incluez au moins une suite de chiffrement pour chaque type de certificat.
Si vous tentez d’associer un groupe d’options à une option SSL contenant uniquement des suites de chiffrement incompatibles avec le type de certificat d’une instance de base de données, l’opération échoue avec un message d’erreur indiquant l’incompatibilité.
