Risoluzione dei SSL problemi/problemi di creazione della TLS connessione con DynamoDB

Amazon DynamoDB sta trasferendo i nostri endpoint su certificati sicuri firmati dall'Autorità di certificazione Amazon Trust Services ATS () anziché dall'Autorità di certificazione di terze parti. A dicembre 2017, abbiamo lanciato la regione WEST UE-3 (Parigi) con i certificati sicuri emessi da Amazon Trust Services. Tutte le nuove regioni avviate dopo dicembre 2017 hanno gli endpoint con i certificati rilasciati da Amazon Trust Services. Questa guida mostra come convalidare e risolvere i problemi SSL TLS /di connessione.

Test dell'applicazione o del servizio

La maggior parte delle AWS SDKs interfacce a riga di comando (CLIs) supportano l'autorità di certificazione Amazon Trust Services. Se si utilizza una versione di AWS SDK for Python CLI rilasciata prima del 29 ottobre 2013, è necessario eseguire l'aggiornamento. Il. NET, Java PHP JavaScript, Go e C++ SDKs e CLIs non raggruppano alcun certificato, i relativi certificati provengono dal sistema operativo sottostante. Ruby SDK include almeno uno dei requisiti richiesti CAs dal 10 giugno 2015. Prima di quella data, Ruby V2 non SDK raggruppava i certificati. Se utilizzi una versione non supportata, personalizzata o modificata di AWS SDK, o se utilizzi un trust store personalizzato, potresti non avere il supporto necessario per Amazon Trust Services Certificate Authority.

Per convalidare l'accesso agli endpoint DynamoDB, è necessario sviluppare un test che acceda a DynamoDB API o DynamoDB Streams API nella regione UE-3 e verificare che l'handshake abbia esito positivo. WEST TLS Gli endpoint specifici a cui devi accedere in questo test sono:

• DynamoDB: https://dynamodb.eu-west-3.amazonaws.com

• Streams DynamoDB: https://streams.dynamodb.eu-west-3.amazonaws.com

Se l'applicazione non supporta l'autorità di certificazione Amazon Trust Services, verrà restituita una delle seguenti tipologie di errore:

• SSL/Errori di negoziazione TLS

• Un lungo ritardo prima che il software riceva un errore che indica un errore diSSL/TLSnegoziazione. La durata del ritardo dipende dalla strategia relativa ai nuovi tentativi e dalla configurazione del timeout del client.

Test del browser del client

Per verificare che il tuo browser sia in grado di connettersi ad Amazon DynamoDB, apri quanto segue:. URL https://dynamodb.eu-west-3.amazonaws.com Se il test viene superato, vedrai un messaggio come questo:

healthy: dynamodb.eu-west-3.amazonaws.com

Se il test non ha esito positivo, verrà visualizzato un errore simile a questo:/. https://untrusted-root.badssl.com

Aggiornamento del client dell'applicazione software

Le applicazioni che accedono agli endpoint DynamoDB o DynamoDB API Streams (tramite browser o a livello di codice) dovranno aggiornare l'elenco delle CA attendibili sui computer client se non supportano già nessuno dei seguenti elementi: CAs

• Autorità di certificazione root Amazon 1

• Autorità di certificazione root dei servizi Starfield - G2

• Autorità di certificazione Starfield classe 2

Se i client si fidano già ANY dei tre precedenti, questi CAs si fideranno dei certificati utilizzati da DynamoDB e non è richiesta alcuna azione. Tuttavia, se i tuoi clienti non si fidano già di nessuno dei precedentiCAs, le HTTPS connessioni a DynamoDB o DynamoDB Streams falliranno. APIs Per ulteriori informazioni, consulta questo post del blog: https://aws.amazon.com/blogs/ security/ - -/. how-to-prepare-for aws-move-to-its own-certificate-authority

Aggiornamento del browser del client

Puoi aggiornare il bundle di certificati del browser semplicemente applicando l'aggiornamento del browser. Le istruzioni per i browser più comuni sono disponibili nei relativi siti Web:

• Chrome: https://support.google.com/chrome/risposta/95414? hl=it

• Firefox: https://support.mozilla.org/en-US/kb/ update-firefox-latest-version

• Safari: https://support.apple.com/en-us/HT20416

• Internet Explorer: https://support.microsoft.com/en-us/windows-internet-explorer-whichhelp/17295/ -version #ie =altro

Aggiornamento manuale del bundle di certificati

Se non riesci ad accedere a DynamoDB o API DynamoDB Streams, devi aggiornare il tuo pacchetto di certificatiAPI. A tale scopo, è necessario importare almeno uno dei file richiesti. CAs Puoi trovarli all'indirizzo https://www.amazontrust.com/repository/.

I sistemi operativi e i linguaggi di programmazione seguenti supportano i certificati Amazon Trust Services:

• Versioni di Microsoft Windows con gli aggiornamenti di gennaio 2005 o successivi, Windows Vista, Windows 7, Windows Server 2008 e versioni più recenti.

• MacOS X 10.4 con Java per MacOS X 10.4 Release 5, MacOS X 10.5 e versioni più recenti.

• Red Hat Enterprise Linux 5 (marzo 2007), Linux 6 e Linux 7 e CentOS 5, CentOS 6 e CentOS 7

• Ubuntu 8.10

• Debian 5.0

• Amazon Linux (tutte le versioni)

• Java 1.4.2_12, Java 5 update 2 e tutte le versioni più recenti, incluse Java 6, Java 7 e Java 8

Se non riesci ancora a connetterti, consulta la documentazione del software, il fornitore del sistema operativo o contatta AWS https://aws.amazon.comSupport/support per ulteriore assistenza.