Configurazione dei SSL/TLS certificati per le connessioni Aurora DSQL

Aurora DSQL richiede che tutte le connessioni utilizzino la crittografia Transport Layer Security (TLS). Per stabilire connessioni sicure, il sistema client deve affidarsi all'Amazon Root Certificate Authority (Amazon Root CA 1). Questo certificato è preinstallato su molti sistemi operativi. Questa sezione fornisce istruzioni per verificare il certificato Amazon Root CA 1 preinstallato su vari sistemi operativi e guida l'utente attraverso il processo di installazione manuale del certificato, se non è già presente.

Si consiglia di utilizzare PostgreSQL versione 17.

Importante

Per gli ambienti di produzione, consigliamo di utilizzare la modalità verify-full SSL per garantire il massimo livello di sicurezza della connessione. Questa modalità verifica che il certificato del server sia firmato da un'autorità di certificazione affidabile e che il nome host del server corrisponda al certificato.

Verifica dei certificati preinstallati

Nella maggior parte dei sistemi operativi, Amazon Root CA 1 è già preinstallato. Per convalidarlo, puoi seguire i passaggi seguenti.

Linux () RedHat/CentOS/Fedora

Esegui il seguente comando nel tuo terminale:

trust list | grep "Amazon Root CA 1"

Se il certificato è installato, viene visualizzato il seguente output:

label: Amazon Root CA 1

macOS

1. Apri Spotlight Search (Comando+Spazio)

2. Cerca Keychain Access

3. Seleziona System Roots in System Keychains

4. Cerca Amazon Root CA 1 nell'elenco dei certificati

Windows

Nota

A causa di un problema noto con il client Windows psql, l'utilizzo dei certificati root di sistema (sslrootcert=system) può restituire il seguente errore:SSL error: unregistered scheme. Puoi seguire il Connessione da Windows metodo alternativo per connetterti al tuo cluster tramite SSL.

Se Amazon Root CA 1 non è installato nel tuo sistema operativo, procedi nel seguente modo.

Installazione dei certificati

Se il Amazon Root CA 1 certificato non è preinstallato sul sistema operativo, sarà necessario installarlo manualmente per stabilire connessioni sicure al cluster Aurora DSQL.

Installazione del certificato Linux

Segui questi passaggi per installare il certificato Amazon Root CA su sistemi Linux.

1. Scarica il certificato root:

   wget https://www.amazontrust.com/repository/AmazonRootCA1.pem

2. Copia il certificato nel trust store:

   sudo cp ./AmazonRootCA1.pem /etc/pki/ca-trust/source/anchors/

3. Aggiorna il CA trust store:

   sudo update-ca-trust

4. Verifica l'installazione:

   trust list | grep "Amazon Root CA 1"

Installazione del certificato macOS

Questi passaggi di installazione dei certificati sono facoltativi. Funzionano Installazione del certificato Linux anche per macOS.

1. Scarica il certificato principale:

   wget https://www.amazontrust.com/repository/AmazonRootCA1.pem

2. Aggiungi il certificato al portachiavi di sistema:

   sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain AmazonRootCA1.pem

3. Verifica l'installazione:

   security find-certificate -a -c "Amazon Root CA 1" -p /Library/Keychains/System.keychain

Connessione con SSL/TLS verifica

Prima di configurare SSL/TLS i certificati per connessioni sicure al cluster Aurora DSQL, assicurati di avere i seguenti prerequisiti.

• PostgreSQL versione 17 installata

• AWS CLI configurato con le credenziali appropriate

• Informazioni sugli endpoint del cluster Aurora DSQL

Connessione da Linux

1. Genera e imposta il token di autenticazione:

   export PGPASSWORD=$(aws dsql generate-db-connect-admin-auth-token --region=your-cluster-region --hostname your-cluster-endpoint)

2. Connect utilizzando certificati di sistema (se preinstallati):

   PGSSLROOTCERT=system \
   PGSSLMODE=verify-full \
   psql --dbname postgres \
   --username admin \
   --host your-cluster-endpoint

3. Oppure, connettiti utilizzando un certificato scaricato:

   PGSSLROOTCERT=/full/path/to/root.pem \
   PGSSLMODE=verify-full \
   psql --dbname postgres \
   --username admin \
   --host your-cluster-endpoint

Nota

Per ulteriori informazioni sulle impostazioni PGSSLMODE, consulta sslmode nella documentazione sulle funzioni di controllo della connessione del database PostgreSQL 17.

Connessione da macOS

1. Genera e imposta il token di autenticazione:

   export PGPASSWORD=$(aws dsql generate-db-connect-admin-auth-token --region=your-cluster-region --hostname your-cluster-endpoint)

2. Connect utilizzando certificati di sistema (se preinstallati):

   PGSSLROOTCERT=system \
   PGSSLMODE=verify-full \
   psql --dbname postgres \
   --username admin \
   --host your-cluster-endpoint

3. Oppure, scarica il certificato principale e salvalo con nome root.pem (se il certificato non è preinstallato)

   PGSSLROOTCERT=/full/path/to/root.pem \
   PGSSLMODE=verify-full \
   psql —dbname postgres \
   --username admin \
   --host your_cluster_endpoint                  

4. Connect usando psql:

   PGSSLROOTCERT=/full/path/to/root.pem \
   PGSSLMODE=verify-full \
   psql —dbname postgres \
   --username admin \
   --host your_cluster_endpoint                  

Connessione da Windows

Utilizzo del prompt dei comandi

1. Genera il token di autenticazione:

   aws dsql generate-db-connect-admin-auth-token ^
   --region=your-cluster-region ^
   --expires-in=3600 ^
   --hostname=your-cluster-endpoint

2. Imposta la variabile di ambiente della password:

   set "PGPASSWORD=token-from-above"

3. Imposta la configurazione SSL:

   set PGSSLROOTCERT=C:\full\path\to\root.pem
   set PGSSLMODE=verify-full

4. Connect al database:

   "C:\Program Files\PostgreSQL\17\bin\psql.exe" --dbname postgres ^
   --username admin ^
   --host your-cluster-endpoint

Usando PowerShell

1. Genera e imposta il token di autenticazione:

   $env:PGPASSWORD = (aws dsql generate-db-connect-admin-auth-token --region=your-cluster-region --expires-in=3600 --hostname=your-cluster-endpoint)

2. Imposta la configurazione SSL:

   $env:PGSSLROOTCERT='C:\full\path\to\root.pem'
   $env:PGSSLMODE='verify-full'

3. Connect al database:

    "C:\Program Files\PostgreSQL\17\bin\psql.exe" --dbname postgres `
   --username admin `
   --host your-cluster-endpoint

Risorse aggiuntive

• Documentazione SSL PostgreSQL

• Servizi Amazon Trust