無法導入證書的AWS數據遷移服務

我們想複製我們的現場MySQL數據庫AWS。毋庸置疑，我們需要一個安全的連接，並且設置它已經證明是非常困難的。 AWS數據遷移服務看起來是正確的，它可以選擇導入證書。無法導入證書的AWS數據遷移服務

試驗和錯誤之後，我發現，AWS所需要的。質子交換膜的擴展，甚至嘗試要上傳的文件。按照documentation，預計鏈式證書文件，我有。但是，我每次都會收到一個驗證錯誤，絕對沒有有用的詳細信息。我確保我的私鑰只有2048比特長，因爲AWS似乎遇到了較大的私鑰。我已經通過各種在線工具運行證書，他們說這沒問題。看起來證書的第一部分就是問題，Data Migration樂意自己導入第二部分。另外值得注意的是，AWS Certificate Manager願意承擔整個事件（儘管它迫使您分割文件）。該證書由Let's Encrypt/Zero SSL與我的CSR生成。我已經確認在上傳文件時沒有多餘的空格。

UPDATE：答案，這是把重點放在中間證書，是正確的。僅使用中間件就足以完成數據加載。但是，要在繼續複製數據加載，你的確會從您的證書頒發機構的根證書中添加爲好。將其轉換爲PEM格式並將其添加到中間包的末尾，並將生成的文件提供給AWS。

來源

2017-10-15 Erica Kane

數據遷移是幸福的全部由自己來導入第二部分。

第二部分是什麼DMS需要，不是第一次。

要將證書分配給端點，您需要提供根證書或中間CA證書鏈（作爲證書包），該證書用於對已部署的服務器SSL證書進行簽名在您的端點上。

https://docs.aws.amazon.com/dms/latest/userguide/CHAP_Security.SSL.html#CHAP_Security.SSL.Limitations

DMS希望能夠驗證在端點的證書，所以只希望對其簽名的權威的證書 - 顯然不實際的端點證書本身。

的「驗證失敗」，可能與事實，你的第一個證書是您的端點證書，這是不是一個CA證書。

如果您檢查您的證書與openssl x509您注意的是，第一個文件是不是一個CA文件...

 X509v3 Basic Constraints: critical 
      CA:FALSE

...但第二個是。

 X509v3 Basic Constraints: critical 
      CA:TRUE, pathlen:0

我懷疑這就是你需要的。

但是，你在這裏什麼是中間。如果你想構建完整的鏈，那麼你需要追加根。根據Let's Encrypt，他們簽署證書的中級證書頒發機構已簽署爲IdenTrust DST Root CA X3。

這通過比較Let's Encrypt Authority X3的權威密鑰標識符與DST Root CA X3（同樣使用openssl x509）的主題密鑰標識符來確認。

因此，請刪除您的第一個證書，然後只上傳第二個證書。

如果這還不夠，請將IdentTrust DST根CA X3證書的主體添加到文件末尾。它在上面鏈接的URL，也粘貼如下：

來源

2017-10-15 18:31:08

哦哇。這將解釋很多！好的，我明天會試試這個，測試連接，並在結帳時標記回答。謝謝。 –

你是對的，並且做得比AWS付費支持更好。對於其他人這樣做，還值得注意的是，MySQL可能會堅持將匹配的私鑰轉換爲RSA格式（如果它尚未存在）。見https://serverfault.com/questions/451487/configured-mysql-for-ssl-but-ssl-is-still-disabled –

奇怪的是，對於數據加載只有中間證書的作品。但對於正在進行遷移的數據加載，必須將根添加到中間證書文件。再次感謝。 –

無法導入證書的AWS數據遷移服務

回答

相關問題