Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Lapisan Soket Aman Oracle
Untuk mengaktifkan enkripsi SSL untuk RDS untuk instance Oracle DB, tambahkan opsi Oracle SSL ke grup opsi yang terkait dengan instance DB. Amazon RDS menggunakan port kedua, sebagaimana diperlukan oleh Oracle, untuk koneksi SSL. Pendekatan ini memungkinkan teks yang jelas dan SSL-encrypted komunikasi terjadi pada saat yang sama antara instance DB dan SQL* Plus. Misalnya, Anda dapat menggunakan port dengan komunikasi teks yang jelas untuk berkomunikasi dengan sumber daya lain di dalam VPC saat menggunakan port dengan SSL-encrypted komunikasi untuk berkomunikasi dengan sumber daya di luar VPC.
catatan
Anda dapat menggunakan SSL atau Enkripsi Jaringan Asli (NNE) pada RDS yang sama untuk instans DB Oracle, tetapi tidak keduanya sekaligus. Jika Anda menggunakan enkripsi SSL, pastikan untuk menonaktifkan enkripsi koneksi lainnya. Untuk informasi selengkapnya, lihat Enkripsi jaringan asli Oracle.
SSL/TLS dan NNE tidak lagi menjadi bagian dari Oracle Advanced Security. Dalam RDS untuk Oracle, Anda dapat menggunakan enkripsi SSL dengan semua edisi berlisensi dari versi basis data berikut:
-
Database Oracle 26ai (26.0.0.0)
-
Oracle Database 21c (21.0.0.0)
-
Oracle Database 19c (19.0.0.0)
catatan
Untuk Oracle Database 26ai, opsi Oracle SSL hanya mendukung TLS 1.2, dan suite cipher default adalah TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384. Oracle Database 26ai mendukung suite cipher berikut:
-
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384(default) -
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 -
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 -
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
Versi TLS untuk opsi SSL Oracle
Amazon RDS for Oracle mendukung Keamanan Lapisan Pengangkutan (TLS) versi 1.0 dan 1.2. Saat Anda menambahkan opsi SSL Oracle baru, tetapkan SQLNET.SSL_VERSION secara eksplisit ke nilai yang valid. Tabel berikut menunjukkan nilai yang diizinkan untuk pengaturan opsi ini:
| Nilai | Versi Oracle yang didukung | Deskripsi |
|---|---|---|
"1.0" |
19c, 21c | Klien dapat terhubung ke instance DB menggunakan TLS versi 1.0 saja. Untuk opsi Oracle SSL yang ada, SQLNET.SSL_VERSION ditetapkan ke "1.0" secara otomatis. Anda dapat mengubah pengaturan bila diperlukan. |
"1.2" |
Semua | Klien dapat terhubung ke instance DB hanya menggunakan TLS 1.2. |
"1.2 or 1.0" |
19c, 21c | Klien dapat terhubung ke instance DB menggunakan TLS 1.2 atau 1.0. |
Paket sandi untuk opsi SSL Oracle
Amazon RDS for Oracle mendukung beberapa paket sandi SSL. Secara default, opsi Oracle SSL dikonfigurasi untuk menggunakan SSL_RSA_WITH_AES_256_CBC_SHA suite sandi untuk Oracle Database 19c dan Oracle Database 21c. Untuk Oracle Database 26ai, suite cipher default adalah TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384. Untuk menentukan paket sandi yang berbeda untuk digunakan melalui koneksi SSL, gunakan pengaturan opsi SQLNET.CIPHER_SUITE.
Anda dapat menentukan beberapa nilai untuk SQLNET.CIPHER_SUITE. Teknik ini berguna jika Anda memiliki tautan database antara instance DB Anda dan memutuskan untuk memperbarui suite sandi Anda.
Untuk menentukan beberapa suite sandi, pisahkan dengan koma dan jangan sertakan spasi, misalnya TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256. Jika daftar berisi spasi, permintaan gagal dengan Invalid option setting
value kesalahan. Semua suite cipher yang Anda tentukan harus mendukung versi TLS yang ditetapkan SQLNET.SSL_VERSION. Untuk versi TLS yang didukung setiap suite sandi, lihat tabel berikut. Untuk contoh yang menentukan beberapa suite cipher, lihat AWS CLI di Menambahkan opsi SSL.
Tabel berikut merangkum dukungan SSL untuk RDS untuk Oracle di semua edisi Oracle Database 19c, 21c, dan 26ai.
| Suite sandi (SQLNET.CIPHER_SUITE) | Dukungan versi TLS (SQLNET.SSL_VERSI) | Dukungan FIPS | Sesuai dengan FedRAMP | Versi Oracle yang didukung |
|---|---|---|---|---|
| SSL_RSA_WITH_AES_256_CBC_SHA (default untuk 19c dan 21c) | 1.0 dan 1.2 | Ya | Tidak | 19c, 21c |
| SSL_RSA_WITH_AES_256_CBC_SHA256 | 1.2 | Ya | Tidak | 19c, 21c |
| SSL_RSA_WITH_AES_256_GCM_SHA384 | 1.2 | Ya | Tidak | 19c, 21c |
| TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (default untuk 26ai) | 1.2 | Ya | Ya | 19c, 21c, 26ai |
| TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | 1.2 | Ya | Ya | 19c, 21c |
| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 | 1.2 | Ya | Ya | 19c, 21c, 26ai |
| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | 1.2 | Ya | Ya | 19c, 21c |
| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA | 1.2 | Ya | Ya | 19c, 21c |
| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA | 1.2 | Ya | Ya | 19c, 21c |
| TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | 1.2 | Ya | Ya | 19c, 21c, 26ai |
| TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 | 1.2 | Ya | Ya | 19c, 21c, 26ai |
Dukungan FIPS
RDS for Oracle memungkinkan Anda untuk menggunakan standar Federal Information Processing Standard (FIPS) untuk 140-2. FIPS 140-2 adalah standar pemerintah Amerika Serikat yang menetapkan persyaratan keamanan modul kriptografi. Anda mengaktifkan standar FIPS dengan menetapkan FIPS.SSLFIPS_140 ke TRUE untuk opsi SSL Oracle. Ketika FIPS 140-2 dikonfigurasi untuk SSL, pustaka kriptografi mengenkripsi data antara klien dan instans DB RDS for Oracle.
Klien harus menggunakan cipher suite yaitu FIPS-compliant. Saat membuat koneksi, klien dan instans DB RDS for Oracle menegosiasikan paket sandi mana yang akan digunakan saat mengirimkan pesan bolak-balik. Meja di Paket sandi untuk opsi SSL Oracle menunjukkan FIPS-compliant Suite sandi SSL untuk setiap versi TLS. Untuk informasi selengkapnya, lihat Oracle database FIPS 140-2 settings
Kompatibilitas sertifikat dengan cipher suite
RDS untuk Oracle mendukung sertifikat RSA dan Elliptic Curve Digital Signature Algorithm (ECDSA). Saat Anda mengkonfigurasi SSL untuk instance DB Anda, Anda harus memastikan bahwa suite cipher yang Anda tentukan di SQLNET.CIPHER_SUITE pengaturan opsi kompatibel dengan jenis sertifikat yang digunakan oleh instance DB Anda.
Tabel berikut menunjukkan kompatibilitas antara jenis sertifikat dan suite sandi:
| Jenis sertifikat | Suite sandi yang kompatibel | Suite sandi yang tidak kompatibel |
|---|---|---|
| Sertifikat RSA (rds-ca-2019, rds-ca-rsa2048-g1, rds-ca-rsa4096-g1) |
SSL_RSA_WITH_AES_256_CBC_SHA SSL_RSA_WITH_AES_256_CBC_SHA256 SSL_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
| Sertifikat ECDSA (rds-ca-ecc384-g1) |
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
SSL_RSA_WITH_AES_256_CBC_SHA SSL_RSA_WITH_AES_256_CBC_SHA256 SSL_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
Ketika Anda menentukan beberapa suite cipher di SQLNET.CIPHER_SUITE pengaturan opsi, pastikan untuk menyertakan setidaknya satu cipher suite yang kompatibel dengan jenis sertifikat yang digunakan oleh instance DB Anda. Jika Anda menggunakan grup opsi dengan beberapa instans DB yang memiliki jenis sertifikat berbeda, sertakan setidaknya satu rangkaian sandi untuk setiap jenis sertifikat.
Jika Anda mencoba untuk mengaitkan grup opsi dengan opsi SSL yang hanya berisi suite sandi yang tidak kompatibel dengan jenis sertifikat instance DB, operasi akan gagal dengan pesan kesalahan yang menunjukkan ketidakcocokan.
