Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Authentifizierung und Autorisierung für Aurora DSQL

Aurora DSQL verwendet IAM-Rollen und -Richtlinien für die Cluster-Autorisierung. Sie ordnen IAM-Rollen PostgreSQL-Datenbankrollen für die Datenbankautorisierung zu. Dieser Ansatz kombiniert die Vorteile von IAM mit PostgreSQL-Berechtigungen. Aurora DSQL verwendet diese Features, um eine umfassende Autorisierungs- und Zugriffsrichtlinie für Ihren Cluster, Ihre Datenbank und Ihre Daten bereitzustellen.

Verwalten Ihres Clusters mithilfe von IAM

Zur Verwaltung Ihres Clusters verwenden Sie IAM für die Authentifizierung und Autorisierung:

Verbindungsaufbau mit Ihrem Cluster mithilfe von IAM

Um eine Verbindung zu Ihrem Cluster herzustellen, verwenden Sie IAM für die Authentifizierung und Autorisierung:

Interaktionen mit Ihrer Datenbank mithilfe von PostgreSQL-Datenbankrollen und IAM-Rollen

PostgreSQL verwendet das Rollenkonzept zur Verwaltung von Datenbankzugriffsberechtigungen. Eine Rolle kann entweder als Datenbankbenutzer oder als Gruppe von Datenbankbenutzern betrachtet werden, je nachdem, wie die Rolle eingerichtet ist. PostgreSQL-Rollen werden mithilfe von SQL-Befehlen erstellt. Um die Autorisierung auf Datenbankebene zu verwalten, gewähren Sie Ihren PostgreSQL-Datenbankrollen entsprechende PostgreSQL-Berechtigungen.

Aurora DSQL unterstützt zwei Arten von Datenbankrollen: eine admin-Rolle und benutzerdefinierte Rollen. Aurora DSQL erstellt Ihnen automatisch eine vordefinierte admin-Rolle in Ihrem Aurora DSQL-Cluster. Diese admin-Rolle kann nicht modifiziert werden. Wenn Sie als admin eine Verbindung zu Ihrer Datenbank herstellen, können Sie SQL ausgeben, um neue Rollen auf Datenbankebene zu erstellen, die Sie Ihren IAM-Rollen zuordnen. Damit IAM-Rollen eine Verbindung zu Ihrer Datenbank herstellen können, müssen Sie Ihre benutzerdefinierten Datenbankrollen Ihren IAM-Rollen zuordnen.

IAM-Richtlinienaktionen in Aurora DSQL verwenden

Welche IAM-Richtlinienaktion Sie verwenden, hängt von der Rolle ab, die Sie für die Verbindung mit Ihrem Cluster nutzen: entweder admin oder eine benutzerdefinierte Datenbankrolle. Die Richtlinie hängt auch von den IAM-Aktionen ab, die für diese Rolle erforderlich sind.

Verwenden von IAM-Richtlinienaktionen zur Verbindung mit Clustern

Wenn Sie mit der Standard-Datenbankrolle admin eine Verbindung zu Ihrem Cluster herstellen, verwenden Sie eine IAM-Identität, die autorisiert ist, die folgende IAM-Richtlinienaktion auszuführen.

"dsql:DbConnectAdmin"

Wenn Sie mit einer benutzerdefinierten Datenbankrolle eine Verbindung zu Ihrem Cluster herstellen, müssen Sie zuerst die IAM-Rolle der Datenbankrolle zuordnen. Die IAM-Identität, die Sie für die Verbindung mit Ihrem Cluster verwenden, muss über eine entsprechende Autorisierung verfügen, um die folgende IAM-Richtlinienaktion auszuführen.

"dsql:DbConnect"

Weitere Informationen zu benutzerdefinierten Datenbankrollen finden Sie unter Verwenden von Datenbankrollen und IAM-Authentifizierung.

Verwenden von IAM-Richtlinienaktionen zur Clusterverwaltung

Bei der Verwaltung Ihrer Aurora DSQL-Clustern geben Sie nur Richtlinienaktionen für die Aktionen an, die Ihre Rolle ausführen muss. Wenn Ihre Rolle beispielsweise nur Clusterinformationen abrufen muss, können Sie die Rollenberechtigungen wie in der folgenden Beispielrichtlinie auf die Berechtigungen ListClusters und GetCluster beschränken.

JSON

{
"Version":"2012-10-17",		 	 	 
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "dsql:GetCluster",
        "dsql:ListClusters"
      ],
      "Resource": "arn:aws:dsql:us-east-1:123456789012:cluster/my-cluster"
    }
  ]
}

Die folgende Beispielrichtlinie zeigt alle verfügbaren IAM-Richtlinienaktionen für die Clusterverwaltung.

JSON

{
"Version":"2012-10-17",		 	 	 
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : [
        "dsql:CreateCluster",
        "dsql:GetCluster",
        "dsql:UpdateCluster",
        "dsql:DeleteCluster",
        "dsql:ListClusters",
        "dsql:TagResource",
        "dsql:ListTagsForResource",
        "dsql:UntagResource"
      ],
      "Resource" : "*"
    }
  ]
}

Widerrufen der Autorisierung mithilfe von IAM und PostgreSQL

Sie können Ihren IAM-Rollen die Zugriffsberechtigungen für Ihre Rollen auf Datenbankebene entziehen:

Die Berechtigungen der vordefinierten admin-Datenbankrolle können nicht verwaltet werden. Informationen zur Berechtigungsverwaltung von benutzerdefinierten Datenbankrollen finden Sie unter PostgreSQL-Berechtigungen. Änderungen an den Rechten werden bei der nächsten Transaktion wirksam, nachdem Aurora DSQL die Änderungstransaktion erfolgreich festgeschrieben hat.