更新Amazon RDS SSL / TLS证书-Elastic Beanstalk

Question

AWS最近宣布了需要：

[在2019年10月31日之前更新您的Amazon RDS SSL / TLS证书

我有一个由经典的Elastic Beanstalk负载均衡器托管的Rails应用程序，该负载均衡器使用RDS连接到Postgres DB。

根据Amazon的必需步骤是：

1. 从使用SSL / TLS加密与数据库实例的连接中下载新的SSL / TLS证书。
2. 更新数据库应用程序以使用新的SSL / TLS证书。
3. 修改数据库实例以将CA从rds-ca-2015更改为rds-ca-2019。

（https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html）

由于我已经这样设置了负载均衡器（通过HTTP端口80（不是SSL）连接到我的EC2实例，这是否意味着我不需要执行步骤1和2？而只需要执行步骤3？

或者我是否必须下载更新的证书并手动将它们安装/添加到我的负载均衡器或EC实例？不知道该怎么做。

Answer 1

仅当您的应用程序为connection with MySQL is TLS encrypted时才需要执行步骤1和2。

请勿更改LB TLS设置可能会破坏您的应用程序，LB TLS还有其他，RDS TLS还有其他。

如果您的应用程序只是创建普通连接，则可以安全地直接执行步骤3。

修改数据库实例以将CA从rds-ca-2015更改为rds-ca-2019。

通常用于数据库的实践，数据库应该位于私有子网中，并且不应从公共站点访问数据库，当数据库和后端连接位于Internet上而不是VPC内时，TLS很有帮助。

使用MySQL客户端和服务器，可以访问网络的人可以监视您的所有流量并检查客户端与客户端之间发送或接收的数据服务器。