Est-il possible d'utiliser les connexions SSL AWS RDS Postgres avec des alias DNS plutôt que AWS Endpoint ?

Question

Les instances RDS Postgres ont un certificat SSL généré automatiquement qui utilise le nom du point de terminaison comme nom commun du certificat. La création d'une connexion SSL à l'instance en utilisant ce certificat généré automatiquement est triviale.

Est-il possible de mettre à jour le certificat existant, ou de générer un certificat supplémentaire, afin qu'un alias de domaine puisse être utilisé pour le point de terminaison lors de l'initialisation d'une connexion SSL, plutôt que le nom du point de terminaison ?

Par exemple, j'ai un alias de domaine configuré comme testdb.mydomain.com CNAME testd.abcd1234hj1.us-east-1.rds.amazonaws.com et je veux pouvoir établir une connexion SSL avec testdb.mydomain.com.

J'utilise des alias de nom de domaine pour les points de terminaison de mon instance Postgres AWS RDS, par exemple testdb.mydomain.com CNAME testdb.abcd1234asds.us-east-1.rds.amazonaws.com.

Answer 1

Est-il possible de mettre à jour le certificat existant, ou de générer un certificat supplémentaire, afin qu'un alias de domaine puisse être utilisé pour le point de terminaison lors de l'initialisation d'une connexion SSL, plutôt que le nom du point de terminaison ?

Malheureusement, cela n'est pas pris en charge actuellement par RDS. Il n'y a aucun moyen de mettre à jour RDS pour utiliser un certificat personnalisé qui correspond à votre CNAME. La seule façon de le faire est côté client si vous utilisez un cadre d'application qui vous permet d'écrire du code pour gérer les erreurs de validation de certification. Dans ce cas, vous pouvez implémenter un code qui permet d'ignorer les erreurs de validation de certificat pour le point de terminaison RDS spécifique, mais qui échoue pour tout autre point de terminaison.

Answer 2

Même s'il n'est pas possible d'utiliser directement les alias DNS (comme mentionné par @Ashaman Kingpin), nous pouvons toujours éviter de transmettre le CNAME à toute ressource qui en a besoin.

Supposons qu'une fonction lambda doive se connecter à la base de données, nous pouvons passer l'alias DNS, résoudre le CNAME dans la fonction lambda et utiliser le CNAME résultant pour se connecter à RDS en utilisant des certificats aws.