Amazon RDS の DB サーバー証明書は手動でローテーションできますか

困っていること

Amazon RDS の DB サーバー証明書を任意のタイミングで手動ローテーションすることは可能でしょうか。

回答

DB エンジンが再起動なしの証明書ローテーションをサポートしているかどうかによって、手動ローテーション可否が異なります。
DB エンジンが再起動なしのローテーションをサポートしているかどうかは、describe-db-engine-versions コマンドを使用して、SupportsCertificateRotationWithoutRestart パラメータで確認できます。

aws rds describe-db-engine-versions \
  --engine postgres \
  --engine-version 18.4 \
  --query "DBEngineVersions[].SupportsCertificateRotationWithoutRestart"

1. DB エンジンが再起動なしのローテーションをサポートしている場合（36 か月有効の証明書）
   証明書の有効期限の半分が過ぎた時点、または有効期限の少なくとも 3 か月前に、server-certificate-rotation が保留中メンテナンスアクションとして表示されます。この期間中は任意のタイミングで手動ローテーションが可能です。

2. DB エンジンが再起動なしのローテーションをサポートしていない場合（12 か月有効の証明書）
   証明書の有効期限の半分が過ぎた後、いずれかのメンテナンスウィンドウで自動的にローテーションされ、手動ローテーションはできません。次回の適用後に発行される新しい証明書は 36 か月有効となり、以降は手動ローテーションが可能になります。

参考情報

• SSL/TLS 証明書のローテーション - サーバー証明書の自動ローテーション
• describe-db-engine-versions — AWS CLI 2.36.17 Command Reference