需要更新服务器或网站以支持AWS证书轮换

Question

bounty到期在3天内。这个问题的答案有资格获得+ 50声望赏金。Idan Shechter正在寻找规范答案。

我已收到来自Amazon Web Services的有关证书轮换的电子邮件。我需要知道是否应该对EC2或Web.config进行任何更改以使其支持新的数据库证书。

旋转SSL / TLS证书：https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html

使用新的SSL / TLS证书更新应用程序以连接到Microsoft SQL Server数据库实例：https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/ssl-certificate-rotation-sqlserver.html

我使用的来自Web.config的示例连接字符串（忽略敏感数据）。

<add name="temp" connectionString="Server=someaddress.us-east-3.rds.amazonaws.com;
Port=3306;Database=somedatabase;Uid=someuserid;Pwd=somepassword" providerName="MySql.Data.MySqlClient" />

我所有的网站都有连接到RDS数据库服务器的类似连接字符串。

是否需要对web.config或EC2服务器进行任何更改以使我的网站支持新的证书轮换。

Answer 1

您不需要进行任何更改，因为您没有使用SSL证书连接到RDS。您的网站将继续保持现在的状态，而无需对配置进行任何更改。但是您可以考虑使用SSL连接到RDS，以提高将来的安全性。

Answer 2

是，肯定需要更改Web.config。下面列出了所需的更改。根据您完成的安全组和vpc设置，可能还会有其他更改。

1. 您需要将SslMode = Required参数添加到connectionString中
2. 也添加参数SslCa = ca.pem

从aws下载https://s3.amazonaws.com/rds-downloads/rds-ca-2019-root.pem文件。

Answer 3

只要您不使用与数据库的SSL连接，就不会使用证书，并且您可以更新证书而不会产生任何副作用。如果您的connectionString根据需要包含sslmode，就会是这种情况：

<add
name="mySql"
providerName="MySql.Data.MySqlClient"
connectionString="...;SslMode=Required;" />

由于不是这种情况，您可以立即更新证书。