AWS เตือนผู้ใช้งาน RDS, Aurora และ DocumentDB ให้เปลี่ยน Certificate ก่อนใช้งานไม่ได้

สำหรับผู้ใช้งาน RDS, Aurora และ DocumentDB ทาง AWS ได้ออกมาเตือนให้เร่งอัป Certificate ใบใหม่หลังจากใบเดิมหมดอายุ ก่อนใช้การไม่ได้ในวันที่ 5 มีนาคมนี้

เหตุการณ์ก็คือสำหรับผู้ใช้งาน SSL/TLS ในบริการ RDS, Aurora และ DocumentDB จะต้องใช้ Certificate ซึ่งจะมีการหมดอายุในทุก 5 ปีด้วยเหตุผลทางด้าน Maintenance และ Security ซึ่งใบเก่า CA-2015 ครบกำหนดแล้ว ดังนั้นจึงมีการเตือนให้เปลี่ยนไปใช้ CA-2019 แทนที่ออกมาตั้งแต่เดือนกันยายนแล้ว ด้วยการดาวน์โหลดและติดตั้ง Certificate ใบใหม่ จากนั้น Rotate CA ให้แต่ละ Instance และรีบูตเครื่อง โดยกำหนดการมีดังนี้

• 14 มกราคม 2019 – Instance ที่ถูกสร้างขึ้นมาใหม่จะติดมากับ CA-2019 ซึ่งสามารถ Revert ไปใบเก่าได้ชั่วคราวหากจำเป็น
• 5 กุมภาพันธ์ ถึง 5 มีนาคม – สำหรับใครที่มี CA-2019 แล้วในช่วงนี้เมื่อรีสตาร์ทจะเป็นการ Activate ใช้ Certificate ใหม่
• 5 มีนาคม – หลังจากวันนี้แอปที่ยังไม่เปลี่ยน Certificate จะเชื่อมต่อไม่ได้

สิ่งที่ต้องรู้เพิ่มเติมคือ

• Aurora Serverless ไม่ต้องเปลี่ยนแปลงอะไรเพราะถูกจัดการโดย AWS Certificate Manager (ACM) ให้อยู่แล้ว 
• ต้อง Rotation ทุก Database Instance ในทุก Region ยกเว้น Asia Pacific (Hong Kong), Middle East (Bahrain) และ China (Ningxia)
• ถ้าเพิ่มโหนดใหม่เข้าไปใน Cluster เดิมที่มีโหนดใดโหนดหนึ่งใช้ CA-2019 อยู่แล้ว โหนดใหม่จะมี CA-2019 แต่ถ้าทุกโหนดใน Cluster เป็น CA-2015 โหนดใหม่ก็จะเป็น CA-2015 ด้วย

ที่มา :  https://aws.amazon.com/blogs/aws/urgent-important-rotate-your-amazon-rds-aurora-and-documentdb-certificates/