Een bedrijf draait zijn database op een Amazon RDS for PostgreSQL DB instance en vereist dat alle clientverbindingen met de DB versleuteld zijn. Wat moet een SysOps-beheerder doen om versleuteling voor verbindingen af te dwingen?

Om versleutelde clientverbindingen af te dwingen voor Amazon RDS for PostgreSQL, moet een SysOps-beheerder een aangepaste parametergroep gebruiken. In deze parametergroep stelt u de parameter rds.forcessl in op 1 (of on). Dit zorgt ervoor dat de PostgreSQL-database alleen verbindingen accepteert die SSL/TLS gebruiken, waardoor alle clientcommunicatie versleuteld wordt. Het toestaan van SSL-verbindingen via een security group is onvoldoende, omdat dit alleen de toegang reguleert en niet afdwingt dat de verbindingen versleuteld zijn. Het versleutelen van de DB-opslag met AWS KMS beschermt data-at-rest, maar niet data-in-transit (de verbindingen zelf). Het toepassen van een aangepaste PostgreSQL-extensie is geen standaard of aanbevolen methode voor het afdwingen van SSL/TLS op RDS; de parametergroep is de juiste en eenvoudigste manier.