View a markdown version of this page

Verwenden der Kerberos-Authentifizierung mit Amazon RDS für PostgreSQL - Amazon Relational Database Service
Verfügbarkeit von Regionen und VersionenÜbersicht über die Kerberos-AuthentifizierungÜberlegungen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden der Kerberos-Authentifizierung mit Amazon RDS für PostgreSQL

Sie können Kerberos verwenden, um Benutzer zu authentifizieren, wenn sie sich mit Ihrer DB-Instance mit PostgreSQL verbinden. Konfigurieren Sie dazu Ihre DB Instanz zu verwenden AWS Directory Service for Microsoft Active Directory für die Kerberos-Authentifizierung. AWS Directory Service for Microsoft Active Directory wird auch genannt AWS Managed Microsoft AD. Es ist eine Funktion, die mit verfügbar ist Directory Service. Weitere Informationen finden Sie unter Was ist Directory Service? in der AWS Directory Service Leitfaden für die Verwaltung.

Erstellen Sie zunächst eine AWS Managed Microsoft AD Verzeichnis zum Speichern von Benutzeranmeldeinformationen. Anschließend stellen Sie Ihrer PostgreSQL-DB-Instance die Active Directory Domain und weitere Informationen zur Verfügung. Wenn Benutzer sich mit PostgreSQL-DB-Instances authentifizieren, werden Authentifizierungsanforderungen an das AWS Managed Microsoft AD -Verzeichnis weitergeleitet.

Wenn Sie alle Ihre Anmeldeinformationen im selben Verzeichnis aufbewahren, können Sie Zeit und Mühe sparen. Sie haben einen zentralen Ort für die Speicherung und Verwaltung von Anmeldeinformationen für mehrere DB-Instances. Die Verwendung eines Verzeichnisses kann auch Ihr allgemeines Sicherheitsprofil verbessern.

Außerdem können Sie von Ihrem eigenen On-Premises Microsoft Active Directory auf Anmeldeinformationen zugreifen. Dazu erstellen Sie eine vertrauensvolle Domain-Beziehung, damit das AWS Managed Microsoft AD -Verzeichnis Ihrem On-Premises Microsoft Active Directory vertraut. Auf diese Weise können Ihre Benutzer auf Ihre PostgreSQL--Instances mit derselben Windows Single Sign-On-Oberfläche (SSO) zugreifen, die sie auch für den Zugriff auf Workloads in Ihrem lokalen Netzwerk verwenden.

Eine Datenbank kann die Kennwortauthentifizierung oder die Kennwortauthentifizierung mit entweder Kerberos oder AWS Identity and Access Management (IAM) -Authentifizierung. Weitere Informationen zur IAM-Authentifizierung finden Sie unter IAM-Datenbankauthentifizierung für MariaDB, MySQL und PostgreSQL.

Anmerkung

RDS für PostgreSQL unterstützt keine Kerberos-Authentifizierung für Active-Directory-Gruppen.

Themen

Verfügbarkeit von Regionen und Versionen

Die Verfügbarkeit von Funktionen und der Support variieren zwischen bestimmten Versionen der einzelnen Datenbank-Engines und in allen AWS-Regionen. Weitere Informationen über die Verfügbarkeit von Versionen und Regionen von RDS für PostgreSQL mit Kerberos-Authentifizierung finden Sie unter Unterstützte Regionen und DB-Engines für die Kerberos-Authentifizierung in Amazon RDS.

Überblick über die Kerberos-Authentifizierung für PostgreSQL DB -Instances

Um die Kerberos-Authentifizierung für PostgreSQL-DB-Instances einzurichten, führen Sie die folgenden Schritte aus, die später näher erläutert werden:

  1. Benutzen AWS Managed Microsoft AD um eine zu erstellen AWS Managed Microsoft AD Verzeichnis. Sie können das verwenden AWS-Managementkonsole, das AWS CLI, oder der Directory Service API zum Erstellen des Verzeichnisses. Stellen Sie sicher, dass Sie die relevanten ausgehenden Ports in der Verzeichnissicherheitsgruppe öffnen, damit das Verzeichnis mit der kommunizieren kann.

  2. Erstellen Sie eine Rolle, die Folgendes bietet Amazon RDS Zugang zum Telefonieren mit Ihrem AWS Managed Microsoft AD Verzeichnis. Erstellen Sie dazu ein AWS Identity and Access Management (IAM) -Rolle, die die verwaltete IAM-Richtlinie verwendet AmazonRDSDirectoryServiceAccess.

    Damit die IAM-Rolle den Zugriff ermöglicht, muss AWS -Security-Token-Service (AWS STS) Der Endpunkt muss korrekt aktiviert sein AWS Region für deine AWS Konto. AWS STS Endpunkte sind standardmäßig in allen aktiv AWS-Regionen, und Sie können sie ohne weitere Aktionen verwenden. Weitere Informationen finden Sie unter Aktivieren/Deaktivieren AWS STS in einem AWS Region in der IAM-Benutzerhandbuch.

  3. Erstellen und konfigurieren Sie Benutzer in der AWS Managed Microsoft AD Verzeichnis mithilfe der Microsoft Active Directory-Tools. Weitere Informationen zum Erstellen von Benutzern in Ihrem Active Directory finden Sie unter Verwalten Sie Benutzer und Gruppen in AWS Verwaltetes Microsoft AD in der Directory Service Leitfaden für die Verwaltung.

  4. Wenn Sie planen, das Verzeichnis und die DB-Instance in verschiedenen AWS -Konten oder Virtual Private Clouds (VPCs) zu platzieren, konfigurieren Sie VPC-Peering. Weitere Informationen finden Sie unter Was ist VPC Peering? im Amazon VPC Peering Guide.

  5. Erstellen oder ändern Sie PostgreSQL-DB-Instances entweder über die Konsole, CLI oder RDS-API mit einer der folgenden Methoden:

    Sie können den finden Instanz in derselben Amazon Virtual Private Cloud (VPC) wie das Verzeichnis oder in einem anderen AWS Konto oder VPC. Wenn Sie die PostgreSQL-DB- erstellen oder ändern, gehen Sie wie folgt vor:

    • Geben Sie den Domänenbezeichner (d-*-Bezeichner) an, der beim Erstellen Ihres Verzeichnisses generiert wurde.

    • Geben Sie außerdem den Namen der IAM-Rolle an, die Sie erstellt haben.

    • Stellen Sie sicher, dass die Sicherheitsgruppe der DB-Instance eingehenden Datenverkehr von der Sicherheitsgruppe des Verzeichnisses empfangen kann.

  6. Verwenden Sie die RDS-Master-Benutzer-Anmeldeinformationen, um sich mit PostgreSQL-DB-Instances zu verbinden. Erstellen Sie den Benutzer in PostgreSQL, der extern identifiziert werden soll. Extern identifizierte Benutzer können sich über die Kerberos-Authentifizierung bei der PostgreSQL-DB- anmelden.

Überlegungen bei der Verwendung der Kerberos-Authentifizierung

Die folgenden Überlegungen gelten für die Verwendung der Kerberos-Authentifizierung mit Ihrem DB-Instanz:

  • DNS-Auflösung mit Kerberos-Authentifizierung bei Verwendung AWS Serviceintegration

    Aktivierung der Kerberos-Authentifizierung auf Ihrem DB-Instanz ändert das Verhalten der DNS-Auflösung, was sich auf die Integration auswirken kann AWS Dienste wie Lambda.

    Wenn Sie die Kerberos-Authentifizierung aktivieren, wird Ihr DB-Instanz priorisiert AWS Managed Microsoft AD DNS-Server gegenüber Amazon DNS-Resolvern. Wenn dein AWS Managed Microsoft AD DNS enthält Endpunkteinträge für AWS Dienste (wie Lambda-VPC-Endpunkte), Ihre Datenbank löst diese Dienste möglicherweise in IP-Adressen in Ihrer Active Directory-VPC und nicht in Ihrer Datenbank-VPC auf. Diese Konfiguration verhindert erfolgreiche Verbindungen von Ihrem DB-Instanz zu diesen AWS Dienstleistungen.

    Anmerkung

    Diese Einschränkung gilt nur, wenn Sie AWS Service-VPC-Endpunkte, die in Ihrem konfiguriert sind AWS Managed Microsoft AD VPC.