サイトアイコン 協栄情報ブログ

RDSの証明書更新をする際に、ふと思った疑問を調べてみた

rds-certificate-rotationアイキャッチ

Amazon RDS と Amazon Aurora について、SSL/TLS 証明書 (rds-ca-2019)が2024 年に期限切れになります。

 

2022年12月に、40年間有効なCA証明書 (rds-ca-rsa2048-g1)と100年間有効なCA証明書 (rds-ca-rsa4096-g1 および rds-ca-ecc384-g1) が新しくリリースされているので、いずれかの証明書に更新しておきたいです。

 

いざRDSの証明書更新をしようと思ったときに、ふと疑問に思ったことがあります。
 

・インスタンスは停止していて大丈夫?
・再起動は発生する?

 

今回の記事は、2024年に期限切れとなるRDSの証明書の更新作業で疑問に思ったことを解消する内容です。

 

 

RDS証明書更新作業でのちょっとした疑問

アジアパシフィック (東京)リージョンにあるRDSでSSL/TLS 証明書 (rds-ca-2019)を利用している場合、2024年8月22日に有効期限が切れます。

 

それまでに更新しようと調査している際に、疑問が2つわきました。

 

 

ひとつひとつ調べてみたので、その結果を紹介します。

 

 

疑問①RDSインスタンスは停止していて大丈夫?

結論:起動している必要がある

 

AWSコンソール上から更新作業をする場合、対象データベースを選択して[変更]を押し、証明書を選択します。RDSが停止している場合、データベースを選択しても[変更]ボタンが有効化されません。

 

 

深夜に稼働を止めていて、更新作業を深夜に実施する場合は起動しておく必要がありますね。

 

 

疑問②RDS証明書更新作業で再起動は発生する?

結論:Amazon RDS for SQL Server以外は発生しない

 

[Amazon Web Services ブログ]に今回の証明書更新の詳しい内容が書かれています。その中に[留意点]の項目に、

 

Amazon RDS for SQL Server を除き、今日の RDS および Aurora エンジンのほとんどは、その最新バージョンにおいて、データベースの再起動なしでの証明書のローテーションをサポートしています。
と書かれています。

 

試しに、以下の3つのエンジンを対象に証明書更新をしてみました。
 
・Amazon RDS for MySQL
・Amazon Aurora PostgreSQL
・Amazon RDS for SQL Server

 

3台とも更新が必要な証明書「rds-ca-2019」からデフォルトの「rds-ca-rsa2048-g1」に変更してみます。

 

●Amazon RDS for MySQLの場合

↓[変更]をクリックします。

 

 

↓[認証機関]を[rds-ca-2019]から[rds-ca-rsa2048-g1]に変更します。

 

 

↓[続行]をクリックします。

 

 

↓テストですので、[すぐに適用]を選択し、[DBインスタンスを変更]をクリックします。

 

 

↓ステータスが[変更中]になりましたので、[利用可能]になるまで待ちます。

 

 

↓利用可能になったのでログを見てみると、11:55に証明書変更を実施しましたが、それ以降の時間に再起動[restart]は発生していませんね。

 

 

●Amazon Aurora PostgreSQLの場合

↓[変更]をクリックします。

 

 

↓[認証機関]を[rds-ca-2019]から[rds-ca-rsa2048-g1]に変更します。

 

 

↓[続行]をクリックします。

 

 

↓テストですので、[すぐに適用]を選択し、[DBインスタンスを変更]をクリックします。

 

 

↓ステータスが[変更中]になりましたので、[利用可能]になるまで待ちます。

 

 

↓利用可能になったのでログを見てみると、再起動[restart]は発生していませんね。

 

 

●Amazon RDS for SQL Serverの場合

↓[変更]をクリックします。

 

 

↓[認証機関]を[rds-ca-2019]から[rds-ca-rsa2048-g1]に変更します。

 

 

↓[続行]をクリックします。

 

 

↓テストですので、[すぐに適用]を選択し、[DBインスタンスを変更]をクリックします。

 

 

↓ステータスが[変更中]になりました。

 

 

↓やはり[再起動中]のステータスが表示がされましたね。[利用可能]になるまで待ちます。

 

 

↓利用可能になったのでログを見てみると、再起動[restart]が発生しているログが出ていました。

 

 

参考までに更新実施から利用可能まで以下の時間がかかりました。

 

 

まとめ

RDSの証明書更新をする際に、ふと思った疑問を調べてみました。リージョンによっては2024年10月まで有効のリージョンもあるようですが、更新が必要な場合は早めに計画して実施しましょう。

 

 

参考リンク:Amazon Web Services ブログSSL/TLS 証明書のローテーション

 

 

↓ほかの協栄情報メンバーのRDSについての記事を公開しています。ぜひ参考にしてみてください。
 

 
AWS RDS for Oracleメモリー不足際の解決案(dapeng)

 
【AWS初心者向け】RDSリネーム後、PITR&AWS Backupリカバリー手順(Kuroda)

 
“Amazon RDS for SQL Server”のクロスリージョンリードレプリカを作成・昇格してみた(齊藤弘樹)

 

モバイルバージョンを終了