Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de l’authentification Kerberos pour les instances de base de données Amazon RDS for Db2

Vous utilisez AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) pour configurer l'Kerberosauthentification pour une instance de base de données RDS pour DB2. Pour configurer l’authentification Kerberos, procédez comme suit :

Étape 1 : créer un répertoire à l'aide de AWS Managed Microsoft AD

Directory Service crée un système entièrement géré Active Directory dans le AWS Cloud. Lorsque vous créez un AWS Managed Microsoft AD annuaire, il Directory Service crée deux contrôleurs de domaine et deux serveurs DNS pour vous. Les serveurs de répertoire sont créés dans des sous-réseaux différents d’un VPC. Cette redondance permet de s’assurer que votre répertoire reste accessible y compris en cas de défaillance.

Lorsque vous créez un AWS Managed Microsoft AD répertoire, il Directory Service exécute les tâches suivantes en votre nom :

Lorsque vous lancez AWS Directory Service for Microsoft Active Directory, AWS crée une unité organisationnelle (UO) qui contient tous les objets de votre répertoire. Cette unité organisationnelle, qui porte le nom NetBIOS que vous avez entré lorsque vous avez créé votre annuaire, est située dans la racine du domaine. La racine du domaine est détenue et gérée par AWS.

Le Admin compte créé avec votre AWS Managed Microsoft AD annuaire dispose d'autorisations pour les activités administratives les plus courantes de votre unité d'organisation :

Le compte Admin dispose également de droits pour exécuter les activités suivantes au niveau du domaine :

La création de l’annuaire prend plusieurs minutes. Lorsqu’il est créé, la valeur du champ Statut devient Actif.

Pour consulter les informations relatives à votre annuaire, choisissez l’ID d’annuaire sous ID d’annuaire. Notez la valeur de Directory ID (ID du répertoire). Vous en aurez besoin pour créer ou modifier votre instance de base de données RDS for Db2.

Étape 2 : Créer une approbation

Si vous prévoyez d'utiliser AWS Managed Microsoft AD uniquement, passez àÉtape 3 : créer un rôle IAM auquel Amazon RDS pourra accéder Directory Service.

Pour activer l’authentification Kerberos à l’aide de votre Active Directory autogéré, vous devez créer une relation d’approbation de forêt entre votre Active Directory autogéré et le . Une approbation forestière est une relation de confiance entre un Microsoft AD et un Active Directory autogéré et AWS Managed Microsoft AD créé à l'étape précédente. L’approbation peut également être bidirectionnelle. Dans ce cas, les deux Active Directory s’approuvent mutuellement. Pour plus d'informations sur la configuration des approbations forestières à l'aide Directory Service de la section Quand créer une relation d'approbation dans le Guide d'administration du AWS Directory Service.

Étape 3 : créer un rôle IAM auquel Amazon RDS pourra accéder Directory Service

Pour qu'Amazon RDS puisse vous appeler Directory Service , vous avez Compte AWS besoin d'un rôle IAM qui utilise la politique IAM gérée. AmazonRDSDirectoryServiceAccess Ce rôle permet à Amazon RDS d’appeler Directory Service.

Lorsque vous créez une instance de base de données à l'aide de AWS Management Console et que votre compte utilisateur de console dispose de l'iam:CreateRoleautorisation, la console crée automatiquement le rôle IAM nécessaire. Dans ce cas, le nom du rôle est rds-directoryservice-kerberos-access-role. Sinon, vous devez créer le rôle IAM manuellement. Lorsque vous créez ce rôle IAMDirectory Service, choisissez et associez la politique AWS gérée AmazonRDSDirectoryServiceAccess à celui-ci.

Pour plus d'informations sur la création de rôles IAM pour un service, consultez la section Création d'un rôle pour déléguer des autorisations à un AWS service dans le Guide de l'utilisateur IAM.

Vous pouvez également créer des stratégies avec les autorisations obligatoires au lieu d’utiliser la politique gérée AmazonRDSDirectoryServiceAccess. Dans ce cas, le rôle IAM doit avoir la politique d’approbation IAM suivante :

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Le rôle doit également avoir la politique de rôle IAM suivante :

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Étape 4 : Créer et configurer des utilisateurs

Vous pouvez créer des utilisateurs à l’aide de l’outil Active Directory Users and Computers. C’est l’un des outils Active Directory Domain Services et Active Directory Lightweight Directory Services. Pour plus d’informations, consultez Ajouter des utilisateurs et des ordinateurs au domaine Active Directory dans la documentation Microsoft. Dans ce cas, les utilisateurs sont des individus ou d’autres entités, tels que leurs ordinateurs, qui font partie du domaine et dont les identités sont conservées dans l’annuaire.

Pour créer des utilisateurs dans un Directory Service annuaire, vous devez être connecté à une EC2 instance Amazon Windows basée qui est membre de l' Directory Service annuaire. Parallèlement, vous devez être connecté en tant qu’utilisateur disposant de privilèges pour créer des utilisateurs. Pour plus d’informations, consultez Créer un utilisateur dans le Guide d’administration AWS Directory Service .

Étape 5 : créer un groupe d'administrateurs RDS pour DB2 dans AWS Managed Microsoft AD

RDS for Db2 ne prend pas en charge l’authentification Kerberos de l’utilisateur principal ou des deux utilisateurs réservés Amazon RDS rdsdb et rdsadmin. Au lieu de cela, vous devez créer un nouveau groupe appelé masterdba in AWS Managed Microsoft AD. Pour plus d’informations, consultez Créer un compte de groupe Active Directory dans la documentation Microsoft. Tous les utilisateurs que vous ajoutez à ce groupe auront des privilèges d’utilisateur principal.

Une fois l’authentification Kerberos activée, l’utilisateur principal perd son rôle masterdba. Par conséquent, l’utilisateur principal ne pourra pas accéder à l’appartenance au groupe d’utilisateurs local de l’instance, sauf si vous désactivez l’authentification Kerberos. Pour continuer à utiliser l’utilisateur principal connecté par mot de passe, créez un utilisateur sur AWS Managed Microsoft AD portant le même nom que l’utilisateur principal. Ajoutez ensuite cet utilisateur au groupe masterdba.

Étape 6 : modification du paramètre de base de données

Si vous prévoyez d'utiliser AWS Managed Microsoft AD uniquement, passez àÉtape 7 : création ou modification d’une instance de base de données RDS for Db2.

Pour activer l’authentification Kerberos à l’aide de votre Active Directory autogéré, vous devez définir le paramètre rds.active_directory_configuration sur AWS_MANAGED_AD_WITH_TRUST dans votre groupe de paramètres. Par défaut, ce paramètre est défini sur AWS_MANAGED_AD pour l'utilisation de AWS Managed Microsoft AD uniquement.

Pour plus d’informations sur la modification des paramètres de base de données, consultez Modification des paramètres dans les groupes de paramètres.

Étape 7 : création ou modification d’une instance de base de données RDS for Db2

Créez ou modifiez une instance de base de données RDS for Db2 en vue de son utilisation avec votre répertoire. Vous pouvez utiliser la AWS Management Console, l’ AWS CLI ou l’API RDS pour associer une instance de base de données à un répertoire. Vous pouvez effectuer cette opération de différentes manières :

L’authentification Kerberos est uniquement prise en charge pour les instances de base de données RDS for Db2 dans un VPC. L’instance de base de données peut être dans le même VPC que l’annuaire ou dans un VPC différent. L’instance de base de données doit utiliser un groupe de sécurité qui accepte les entrées et les sorties du VPC de l’annuaire, afin que l’instance de base de données puisse communiquer avec le répertoire.

Étape 8 : récupérer le SID du groupe Active Directory dans PowerShell

Un identifiant de sécurité (SID) permet d’identifier de manière unique un principal ou un groupe de sécurité. Lorsqu’un groupe ou un compte de sécurité est créé dans Active Directory, Active Directory attribue un SID au groupe. Pour récupérer le SID du groupe de sécurité AD depuis Active Directory, utilisez l’applet de commande Get-ADGroup sur un ordinateur client Windows qui fait partie du domaine Active Directory. Le paramètre Identity indique le nom du groupe Active Directory pour lequel vous souhaitez obtenir le SID.

L’exemple suivant renvoie le SID du groupe Active Directory adgroup1.

C:\Users\Admin> Get-ADGroup -Identity adgroup1 | select SID

             SID
-----------------------------------------------
S-1-5-21-3168537779-1985441202-1799118680-1612

Vous devez générer ce mappage pour tous les groupes concernés par la base de données.

Étape 9 : ajouter un SID aux GroupName mappages vers votre instance de base de données RDS pour DB2

Vous devez ajouter le SID aux GroupName mappages créés à l'étape précédente à votre instance de base de données RDS pour DB2. Pour chaque mappage, appelez la procédure stockée suivante. Remplacez le SID et group_name par vos propres informations.

db2 connect to rdsadmin
db2 "call rdsadmin.set_sid_group_mapping(?, 'SID','group_name')"

Pour de plus amples informations, veuillez consulter rdsadmin.set_sid_group_mapping.

Pour plus d’informations sur la vérification du statut d’une tâche, consultez rdsadmin.get_task_status.

Étape 10 : configuration d’un client Db2

L'exemple suivant est le contenu du fichier /etc/krb5.conf pour : AWS Managed Microsoft AD

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM