Amazon RDS で100年有効な新しいCAが利用可能になりました

Amazon RDS で、セキュアなDB通信を行う際 に利用する認証局 (CA) として、 有効期限が40年弱(rds-ca-rsa2048-g1)、100年弱(rds-ca-rsa4096-g1, rds-ca-ecc384-g1) のCAが、2023年1月13日のアップデートで利用可能になりました。

• Amazon RDS now supports new SSL/TLS certificates and certificate controls

今回、利用可能となった新しいCAを試す機会がありましたので、紹介させていただきます。

設定

RDS

DBエンジンバージョンは「MySQL 8.0.28」を利用しました。

認証機関として rds-ca-2019 (デフォルト) 以外の選択が可能になりました。

• rds-ca-2019 (デフォルト)
• rds-ca-ecc384-g1
• rds-ca-rsa4096-g1
• rds-ca-rsa2048-g1

認証機関として「rds-ca-rsa4096-g1」を設定しました。

疎通確認

クライアント

Amazon Linux 2 の EC2インスタンスで mariadb-5.5のパッケージを利用しました。

$ rpm -qf /usr/bin/mysql
mariadb-5.5.68-1.amzn2.x86_64

証明書バンドルは、すべての AWS リージョンの中間証明書とルート証明書の両方を含む 「global-bundle.pem」 を 公式サイトよりダウンロードして利用しました。

wget https://truststore.pki.rds.amazonaws.com/global/global-bundle.pem

疎通結果

DBHOST='###.###.ap-northeast-1.rds.amazonaws.com'
echo "\s" |  mysql -h ${DBHOST} -P 3306 -u admin  --ssl-ca=global-bundle.pem --ssl -p

TLSv1.2 (ECDHE-RSA-AES256-GCM-SHA384) での接続が確認できました。

--------------
mysql  Ver 15.1 Distrib 5.5.68-MariaDB, for Linux (x86_64) using readline 5.1

Connection id:          71
Current database:
Current user:           admin@##.##.##.##
SSL:                    Cipher in use is ECDHE-RSA-AES256-GCM-SHA384
Current pager:          stdout
Using outfile:          ''
Using delimiter:        ;
Server:                 MySQL
Server version:         8.0.28 Source distribution
Protocol version:       10
Connection:             ##.##.ap-northeast-1.rds.amazonaws.com via TCP/IP
Server characterset:    utf8mb4
Db     characterset:    utf8mb4
Client characterset:    utf8mb3
Conn.  characterset:    utf8mb3
TCP port:               3306
Uptime:                 1 hour 49 min 54 sec

Threads: 3  Questions: 13962  Slow queries: 0  Opens: 284  Flush tables: 3  Open tables: 178  Queries per second avg: 2.117
--------------

失効日

2023年1月時点のCA毎の有効期限は以下の通りでした。

今回のアップデートで追加されたCAを利用するDBサーバの証明書については、2026年の有効期限が切れる前に自動ローテーションで利用出来るとされています。

When you use the rds-ca-rsa2048-g1, rds-ca-rsa4096-g1, or rds-ca-ecc384-g1 CA with a DB instance, RDS manages the server certificate on the DB instance. RDS rotates it automatically before it expires. These CA certificates are included in the regional and global certificate bundle. Using SSL/TLS to encrypt a connection to a DB instance

まとめ

RDS を セキュアなDB 通信で 利用するワークロードでは、これまで5年毎にサーバー(RDS)と クライアントの双方で、SSL/TLS 証明書のメンテナンスが必要でした。

• Amazon RDS のお客様: 2020 年 3 月 5 日までに SSL/TLS 証明書を更新してください

今回追加されたCAを利用するRDSでは サーバー側の証明書は、40/100年間は自動更新で利用することが可能になります。新規にRDSインスタンスを作成される場合、新しい認証局をご活用ください。

従来の「rds-ca-2019」を認証局としている 既存のRDSインスタンスも、メンテナンスウィンドウを利用する事で新しい認証局を利用可能です。 セキュアなDB通信を利用している場合、クライアント側で利用する証明書バンドルの更新が必須となります。 「rds-ca-2019」の執行日 2024年8月までは1年半の猶予がありますが、早めに移行の準備、評価に取り掛かる事をお勧めします。

また、従来より高いセキュリティ強度のCA (RSA4096、ecc384)を長い有効期限で利用可能になりましたが、クライアント側の対応や負荷影響について、検証環境などで十分に確認してからご利用ください。

デジタル庁「暗号強度要件（アルゴリズム及び鍵長選択）に関する設定基準」 （初版：2022年（令和4年）6月、CRYPTREC LS-0003-2022）