Какой метод использовать для обновления сертификатов CA для AWS RDS

Question

Мне нужно обновить сертификаты CA для моего экземпляра AWS RDS, и, насколько мне известно, есть два способа сделать это: изменить мой экземпляр DB или применить обслуживание экземпляра DB (источник: https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html).

Имеет ли значение, какой метод я выберу? Является ли один способ особенно лучше другого / лучше в некоторых обстоятельствах?

Answer 1

В обоих методах указывается, что экземпляр RDS нуждается в перезагрузке (читается как сбой!).

В нашем случае клиентское приложение RDS (на основе java) столкнулось с проблемами при восстановлении Соединение JDBC / SSL с перезагруженным экземпляром RDS (после обновления CA), поэтому нам пришлось вручную запускать перезапуск клиентского приложения RDS, чтобы нормализовать ситуацию. Следовательно, нам нужно точно знать, в какой момент обновление CA RDS было завершено.

Следовательно, рабочий процесс будет выглядеть следующим образом:

1 / Добавьте CA (2019) в хранилище доверенных сертификатов вашего клиентского приложения. first!
2 / На стороне RDS используйте опцию «Применить немедленно» в более низких средах (в Производстве мы также использовали «Применить немедленно», но выполнили ее во время утвержденного окна обслуживания).
3 / Подождите несколько минут для AWS для применения CA и перезагрузки экземпляра RDS.
4 / Go и выполнения последующих действий, таких как перезапуск клиентского приложения (при необходимости) и регрессионные тесты.

Таким образом, мы смогли ограничить отключение до пары минут.

Предупреждение: Если бы мы выбрали вариант «Применить во время технического обслуживания», мы бы не «контролировали», в какой момент AWS обновит RDS (CA), поскольку AWS может выбрать любой момент времени во время окна обслуживания, указанного для выполнения обновления, оно не гарантируется в начале окна обслуживания.

Надеюсь, это поможет!

Answer 2

Мне нравится тестировать обновление вручную, изменяя экземпляр БД в тестовой среде. Затем я подтверждаю любое зависимое программное обеспечение и проверяю, что все работает.

Затем на производстве я позволил его изменить во время обновления окна обслуживания. Поскольку это изменение требует перезагрузки, я разрешил его применить в течение моего окна обслуживания в воскресенье в 3 часа утра.

Так что оба метода удобны в зависимости от ваших потребностей. Конечный результат идентичен.