rds証明書更新は？

rds証明書更新は？

タイトル: Amazon RDS で100年有効な新しいCAが利用可能になりました

ブログ記事:

Amazon RDS で、セキュアなDB通信を行う際に利用する認証局 (CA) として、有効期限が40年弱(rds-ca-rsa2048-g1)、100年弱(rds-ca-rsa4096-g1, rds-ca-ecc384-g1) のCAが、2023年1月13日のアップデートで利用可能になりました。

これまでの証明書は5年ごとに更新が必要でしたが、新しいCAを利用することでRDSインスタンスの証明書は40/100年間自動更新されるため、証明書のメンテナンス頻度が大幅に減少します。

新しいCAを利用するワークロードでは、サーバー側の証明書は自動的に更新されますが、クライアント側で利用する証明書バンドルの更新が必要です。古い「rds-ca-2019」に設定されているRDSインスタンスも、メンテナンスウィンドウを利用して新しい認証局を利用することが可能です。

ただし、新しいCAは従来より高いセキュリティ強度を持っていますが、クライアント側の対応や負荷影響については検証環境で十分に確認してから利用することをお勧めします。また、新しいCAを利用するRDSインスタンスを新規に作成する際は、新しい認証局を活用してください。

今回のアップデートで追加されたCAは2026年の有効期限が切れる前に自動的にローテーションされます。セキュアなDB通信を利用するワークロードにおいて、安全かつ簡単な証明書管理を実現するために、新しいCAを積極的に活用してください。

少なくとも2024年8月までは従来の「rds-ca-2019」を利用できますが、早めに新しい認証局への移行の準備と評価を行うことをお勧めします。セキュリティを向上させ、証明書管理の手間を減らすために、新しいCAを活用してAmazon RDSでさらに安全なDB通信を実現しましょう。