Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

KerberosAuthentifizierung für Amazon RDS für Db2-DB-Instances einrichten

Sie verwenden AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD), um die Kerberos Authentifizierung für eine RDS for Db2-DB-Instance einzurichten. Gehen Sie folgendermaßen vor, um die Kerberos Authentifizierung einzurichten:

Schritt 1: Erstellen Sie ein Verzeichnis mit AWS Managed Microsoft AD

AWS Directory Service erstellt ein vollständig verwaltetes Active Directory in der AWS Cloud. Wenn Sie ein AWS Managed Microsoft AD Verzeichnis erstellen, AWS Directory Service erstellt zwei Domänencontroller und DNS-Server für Sie. Die Verzeichnisserver werden in verschiedenen Subnetzen in einer VPC erstellt. Diese Redundanz hilft sicherzustellen, dass Ihr Verzeichnis verfügbar bleibt, auch wenn ein Fehler auftritt.

Wenn Sie ein AWS Managed Microsoft AD Verzeichnis erstellen, AWS Directory Service führt in Ihrem Namen die folgenden Aufgaben aus:

AWS Erstellt beim Start AWS Directory Service for Microsoft Active Directory eine Organisationseinheit (OU), die alle Objekte Ihres Verzeichnisses enthält. Diese OU erhält den NetBIOS-Namen, den Sie beim Erstellen des Verzeichnisses eingegeben haben, und befindet sich im Domänenstamm. Der Domänenstamm gehört und wird von verwaltet AWS.

Das Admin Konto, das mit Ihrem AWS Managed Microsoft AD Verzeichnis erstellt wurde, verfügt über Berechtigungen für die gängigsten Verwaltungsaktivitäten Ihrer Organisationseinheit:

Das Admin-Konto hat auch die Berechtigung, die folgenden domänenweiten Aktivitäten durchzuführen:

Es dauert einige Minuten, bis das Verzeichnis erstellt wurde. Wenn es erfolgreich erstellt wurde, ändert sich der Wert Status in Active (Aktiv).

Um Informationen zu Ihrem Verzeichnis zu sehen, wählen Sie die Verzeichnis-ID unter Verzeichnis-ID aus. Notieren Sie sich den Wert Directory ID. Sie benötigen diesen Wert, wenn Sie Ihre RDS for Db2-DB-Instance erstellen oder ändern.

Schritt 2: Erstellen Sie eine IAM-Rolle, auf die Amazon RDS zugreifen kann AWS Directory Service

Damit Amazon RDS AWS Directory Service für Sie anrufen kann, AWS-Konto benötigen Sie eine IAM-Rolle, die die verwaltete IAM-Richtlinie verwendet. AmazonRDSDirectoryServiceAccess Diese Rolle ermöglicht es Amazon RDS, Anrufe an zu tätigen AWS Directory Service.

Wenn Sie eine DB-Instance mit dem erstellen AWS Management Console und Ihr Konsolen-Benutzerkonto über die iam:CreateRole entsprechende Berechtigung verfügt, erstellt die Konsole automatisch die benötigte IAM-Rolle. In diesem Fall lautet der Rollenname rds-directoryservice-kerberos-access-role. Andernfalls müssen Sie die IAM-Rolle manuell erstellen. Wenn Sie diese IAM-Rolle erstellenDirectory Service, wählen Sie die AWS verwaltete Richtlinie aus und fügen Sie AmazonRDSDirectoryServiceAccess sie ihr hinzu.

Weitere Informationen zum Erstellen von IAM-Rollen für einen Dienst finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS Dienst im IAM-Benutzerhandbuch.

Alternativ können Sie Richtlinien mit den erforderlichen Berechtigungen erstellen, anstatt die verwaltete Richtlinie AmazonRDSDirectoryServiceAccess zu verwenden. In diesem Fall muss die IAM-Rolle über die folgende IAM-Vertrauensrichtlinie verfügen:

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Die Rolle muss außerdem die folgende IAM-Rollenrichtlinie haben:

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Schritt 3: Anlegen und konfigurieren von Benutzern

Sie können Benutzer mithilfe des Active Directory Users and Computers Tools erstellen. Dies ist eines der Active Directory Lightweight Directory Services Tools Active Directory Domain Services und. Weitere Informationen finden Sie in der Microsoft Dokumentation unter Benutzer und Computer zur Active Directory Domäne hinzufügen. In diesem Fall handelt es sich bei Benutzern um Einzelpersonen oder andere Entitäten, z. B. deren Computer, die Teil der Domäne sind und deren Identitäten im Verzeichnis verwaltet werden.

Um Benutzer in einem AWS Directory Service Verzeichnis zu erstellen, müssen Sie mit einer Windows basierten EC2 Amazon-Instance verbunden sein, die Mitglied des AWS Directory Service Verzeichnisses ist. Gleichzeitig müssen Sie als Benutzer angemeldet sein, der über die Rechte zum Erstellen von Benutzern verfügt. Weitere Informationen finden Sie unter Erstellen eines Benutzers im AWS Directory Service Administration Guide.

Schritt 4: Erstellen Sie eine RDS for Db2-Administratorgruppe in AWS Managed Microsoft AD

RDS for Db2 unterstützt keine Kerberos Authentifizierung für den Master-Benutzer oder die beiden reservierten Amazon RDS-Benutzer rdsdb undrdsadmin. Stattdessen müssen Sie eine neue Gruppe mit dem Namen „masterdbaIn AWS Managed Microsoft AD“ erstellen. Weitere Informationen finden Sie Active Directoryin der Microsoft Dokumentation unter Erstellen eines Gruppenkontos. Alle Benutzer, die Sie zu dieser Gruppe hinzufügen, verfügen über Masterbenutzerrechte.

Nachdem Sie die Kerberos Authentifizierung aktiviert haben, verliert der Masterbenutzer die masterdba Rolle. Daher kann der Masterbenutzer nur dann auf die Mitgliedschaft in der lokalen Benutzergruppe der Instanz zugreifen, wenn Sie die Kerberos Authentifizierung deaktivieren. Um den Masterbenutzer mit Kennwortanmeldung weiterhin zu verwenden, erstellen Sie einen Benutzer AWS Managed Microsoft AD mit demselben Namen wie der Masterbenutzer. Fügen Sie diesen Benutzer dann der Gruppe hinzumasterdba.

Schritt 5: Erstellen oder ändern Sie eine RDS for Db2-DB-Instance

Erstellen oder ändern Sie eine RDS for Db2-DB-Instance zur Verwendung mit Ihrem Verzeichnis. Sie können die AWS Management Console, oder die RDS-API verwenden AWS CLI, um eine DB-Instance einem Verzeichnis zuzuordnen. Sie können dafür eine der folgenden Möglichkeiten auswählen:

KerberosDie Authentifizierung wird nur für RDS für Db2-DB-Instances in einer VPC unterstützt. Die DB-Instance kann sich in derselben VPC wie das Verzeichnis oder in einer anderen VPC befinden. Die DB-Instance muss eine Sicherheitsgruppe verwenden, die Ein- und Ausgänge innerhalb der VPC des Verzeichnisses zulässt, damit die DB-Instance mit dem Verzeichnis kommunizieren kann.

Schritt 6: Konfigurieren Sie einen Db2-Client

Das folgende Beispiel ist der Inhalt der Datei /etc/krb5.conf für: AWS Managed Microsoft AD

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM