Ein Unternehmen betreibt seine Datenbank auf einer Amazon RDS for PostgreSQL DB-Instance und verlangt, dass alle Client-Verbindungen zur DB verschlüsselt werden. Was sollte ein SysOps-Administrator tun, um die Verschlüsselung für Verbindungen zu erzwingen?

Die korrekte Option ist, SSL-Verbindungen auf Datenbankebene durch Anwenden einer benutzerdefinierten Parametergruppe zu erzwingen. Dies geschieht, indem der Parameter rds.forcessl in der Parametergruppe auf 1 gesetzt wird. Dadurch wird sichergestellt, dass alle Client-Verbindungen zur RDS for PostgreSQL DB-Instanz SSL/TLS verwenden müssen, was die Verschlüsselungsanforderung erfüllt. Das Zulassen von SSL-Verbindungen durch eine Sicherheitsgruppenregel allein erzwingt die Verschlüsselung nicht; es erlaubt lediglich den Traffic auf dem SSL-Port. Die Verschlüsselung des DB-Speichers mit AWS KMS verschlüsselt die Daten im Ruhezustand, nicht die Daten während der Übertragung (Verbindungen). Das Anwenden einer benutzerdefinierten PostgreSQL-Erweiterung ist nicht der standardmäßige oder empfohlene Weg, um SSL/TLS auf RDS-Ebene zu erzwingen; RDS bietet dafür spezifische Parameter.