사용자 지정 인증 기관 및 AWS 고객에 대한 OCSP 허용 목록 변경¶

CA 신뢰 저장소¶

운영 체제, 브라우저 또는 애플리케이션 레벨 TLS 인증 기관 신뢰 저장소에 Digicert Global Root G2, 일련 번호 03:3A:F1:E6:A7:11:A9:A0:BB:28:64:B1:1D:09:FA:E5 에 대한 인증서가 포함되어 있어야 합니다.

운영 체제 신뢰 저장소는 OS 공급자에 의해 구현되며 최근에 패치된 모든 운영 체제에는 기본 신뢰 저장소에 Digicert Global Root G2 인증이 포함되어 있습니다. 추가 지원이 필요한 경우 OS 공급업체에 문의하십시오.

자세한 내용은 다음을 참조하십시오.

• Windows

• macOS

• RedHat Linux

• Ubuntu

사용자 지정 신뢰 저장소가 있는 Java 애플리케이션에서 Snowflake에 액세스하는 경우, Digicert Global Root G2가 출력에 표시되는지 확인할 수 있습니다.

keytool -list -keystore <path_to_keystore_file>

OCSP 허용 목록¶

Privatelink가 아닌 고객은 클라이언트가 포트 80 에서 ocsp.digicert.com 에 대한 아웃바운드 네트워크 연결이 있는지 확인해야 합니다. curl URL은 https 가 http 프로토콜을 사용해야 합니다. https 를 사용하면 TLS 오류가 발생합니다.

curl -I 'http://ocsp.digicert.com'
HTTP/1.1 200 OK
...

방화벽 허용 목록 요구 사항 및 SnowCD 도구를 사용한 유효성 검사에 대한 일반적인 지침은 SYSTEM$ALLOWLIST 섹션을 참조하십시오.

Privatelink 얼리어답터 옵트인 유효성 검사¶

얼리어답터 프로그램에 옵트인한 Privatelink 고객은 다음과 같은 몇 가지 유효성 검사 옵션을 사용할 수 있습니다.

1. 비공개 연결로 Snowsight를 사용합니다. 자세한 내용은 비공개 연결 지침 을 참조하세요. Snowsight에 연결할 수 있으면 Digicert CA 업데이트에 대한 올바른 구성이 있는 것입니다.

2. privatelink URL이 있는 Snowflake 드라이버를 사용합니다. 자세한 내용은 비공개 링크 지침이 포함된 Snowflake 드라이버 를 참조하세요. 쿼리를 실행할 수 있으면 Digicert CA 업데이트에 대한 올바른 구성이 있는 것입니다.

Privatelink 테스트를 위해 계정을 선택한 경우 다음 명령을 실행하여 계정이 Digicert CA로 마이그레이션되었는지 확인할 수 있습니다.

curl -v 'https://<privatelink hostname>/console'
...
Server certificate:
...
issuer: C=US; O=DigiCert Inc; CN=DigiCert Global G2 TLS RSA SHA256 2020 CA1
...
HTTP/1.1 200 OK
...

응답에 Digicert Global G2가 포함된 서버 인증서 섹션이 표시되어야 합니다. 그렇게 하면 현재 계정이 Digicert CA에 있는 것입니다. 서버 인증서 섹션에서 Amazon이 발급자로 표시되면 계정이 여전히 ACM 인증서에 있는 것입니다.

또는 다음 명령을 실행할 수 있습니다.

openssl s_client -connect <privatelink hostname>:443 -showcerts
...
Certificate chain:
...
issuer: C=US; O=DigiCert Inc; CN=DigiCert Global G2 TLS RSA SHA256 2020 CA1
...
Verification: OK
...

체인에 Digicert G2 인증서가 표시되면 계정이 현재 Digicert CA에 있는 것입니다. 체인에 Amazon 인증서가 표시되면 계정이 여전히 ACM 인증서에 있는 것입니다.