AWS 顧客向けの認証局および OCSP 許可リストの変更¶

CA トラストストア¶

オペレーティングシステム、ブラウザー、またはアプリケーションレベル TLS 認証局のトラストストアには、Digicert Global Root G2、シリアル 03:3A:F1:E6:A7:11:A9:A0:BB:28:64:B1:1D:09:FA:E5 の証明書が含まれている必要があります。

オペレーティングシステムのトラストストアは、 OS プロバイダーによって実装され、最近パッチを適用したオペレーティングシステムにはすべて、デフォルトのトラストストアにDigicert Global Root G2証明書が含まれています。さらなるサポートについては、 OS ベンダーにお問い合わせください。

詳細については、次をご参照ください。

• Windows

• macOS

• RedHat Linux

• Ubuntu

カスタムのトラストストアを持つJavaアプリケーションからSnowflakeにアクセスする場合は、次の出力に表示されるDigicert Global Root G2で検証できます。

keytool -list -keystore <path_to_keystore_file>

OCSP 許可リスト¶

PrivateLink以外のお客様は、クライアントがポート 80 で ocsp.digicert.com にアウトバウンドネットワーク接続できることを確認する必要があります。curl urlは、 https ではなく、 http プロトコルを使用しなければならないことに注意してください。https を使用すると、 TLS エラーが発生します。

curl -I 'http://ocsp.digicert.com'
HTTP/1.1 200 OK
...

ファイアウォール許可リストの要件と SnowCD ツールを使用した検証に関する一般的な手順については、 SYSTEM$ALLOWLIST をご参照ください。

Privatelinkの早期導入オプトイン検証¶

早期導入プログラムにオプトインしたPrivatelinkのお客様には、以下を検証するためのいくつかのオプションがあります。

1. プライベート接続でSnowsightを使用する。詳細については、 :ref:`プライベート接続の手順 <label-ui_snowsight_gs_private_connectivity>`をご参照ください。Snowsightに接続できたら、Digicert CAの更新に必要な設定が正しく行われています。

2. プライベートリンク URLのあるSnowflakeドライバーを使用する。詳細については、:ref:`プライベートリンクの手順付きSnowflakeドライバー <label-aws_privatelink_client_hostname>`をご参照ください。クエリを実行できる場合は、DigicertCA の更新に必要な設定が正しく行われています。

Privatelinkテスト用にアカウントを選択した場合は、次のコマンドを実行してそのアカウントがDigicert CAに移行したことを確認できます。

curl -v 'https://<privatelink hostname>/console'
...
Server certificate:
...
issuer: C=US; O=DigiCert Inc; CN=DigiCert Global G2 TLS RSA SHA256 2020 CA1
...
HTTP/1.1 200 OK
...

応答には、Digicert Global G2が含まれるサーバー証明書セクションが表示されます。実行すると、アカウントは現在、DigicertCAにあります。サーバー証明書セクションで発行者としてAmazon が表示されている場合、アカウントはまだACM 証明書にあります。

または、次のコマンドを実行することもできます。

openssl s_client -connect <privatelink hostname>:443 -showcerts
...
Certificate chain:
...
issuer: C=US; O=DigiCert Inc; CN=DigiCert Global G2 TLS RSA SHA256 2020 CA1
...
Verification: OK
...

チェーンにDigicert G2証明書が表示されている場合、アカウントは現在Digicert CAにあります。チェーンにAmazon証明書が表示されている場合、アカウントはまだACM 証明書にあります 。