Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de Kerberos l'authentification pour Amazon RDS pour les instances de base de données DB2

Vous utilisez AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) pour configurer l'Kerberosauthentification pour une instance de base de données RDS pour DB2. Pour configurer Kerberos l'authentification, procédez comme suit :

Étape 1 : créer un répertoire à l'aide de AWS Managed Microsoft AD

AWS Directory Service crée un système entièrement géré Active Directory dans le AWS Cloud. Lorsque vous créez un AWS Managed Microsoft AD annuaire, il AWS Directory Service crée deux contrôleurs de domaine et deux serveurs DNS pour vous. Les serveurs de répertoire sont créés dans des sous-réseaux différents d'un VPC. Cette redondance permet de s'assurer que votre répertoire reste accessible y compris en cas de défaillance.

Lorsque vous créez un AWS Managed Microsoft AD répertoire, AWS Directory Service exécute les tâches suivantes en votre nom :

Lorsque vous lancez AWS Directory Service for Microsoft Active Directory, AWS crée une unité organisationnelle (UO) contenant tous les objets de votre répertoire. Cette unité d'organisation, qui porte le nom NetBIOS que vous avez entré lorsque vous avez créé votre annuaire, est située dans la racine du domaine. La racine du domaine est détenue et gérée par AWS.

Le Admin compte créé avec votre AWS Managed Microsoft AD annuaire dispose d'autorisations pour les activités administratives les plus courantes de votre unité d'organisation :

Le compte Admin dispose également de droits pour exécuter les activités suivantes au niveau du domaine :

La création de l'annuaire prend plusieurs minutes. Lorsqu'il est créé, la valeur du champ Status (Statut) devient Active (Actif).

Pour consulter les informations relatives à votre répertoire, choisissez l'ID du répertoire sous ID du répertoire. Notez la valeur de Directory ID (ID du répertoire). Vous avez besoin de cette valeur lorsque vous créez ou modifiez votre instance de base de données RDS pour DB2.

Étape 2 : Créer une approbation

Si vous prévoyez d'utiliser AWS Managed Microsoft AD uniquement, passez àÉtape 3 : créer un rôle IAM auquel Amazon RDS pourra accéder AWS Directory Service.

Pour activer l'authentification Kerberos à l'aide de votre Active Directory autogéré, vous devez créer une relation de confiance forestière entre votre Active Directory autogéré et le. Une approbation forestière est une relation de confiance entre un Microsoft AD et un Active Directory autogéré et AWS Managed Microsoft AD créé à l'étape précédente. L'approbation peut également être bidirectionnelle. Dans ce cas, les deux Active Directory s'approuvent mutuellement. Pour plus d'informations sur la configuration des approbations forestières à l'aide AWS Directory Service de la section Quand créer une relation d'approbation dans le Guide d'administration du AWS Directory Service.

Étape 3 : créer un rôle IAM auquel Amazon RDS pourra accéder AWS Directory Service

Pour qu'Amazon RDS puisse vous appeler AWS Directory Service , vous avez Compte AWS besoin d'un rôle IAM qui utilise la politique IAM gérée. AmazonRDSDirectoryServiceAccess Ce rôle permet à Amazon RDS de passer des appels à AWS Directory Service.

Lorsque vous créez une instance de base de données à l'aide de AWS Management Console et que votre compte utilisateur de console dispose de l'iam:CreateRoleautorisation, la console crée automatiquement le rôle IAM nécessaire. Dans ce cas, le nom du rôle est rds-directoryservice-kerberos-access-role. Sinon, vous devez créer le rôle IAM manuellement. Lorsque vous créez ce rôle IAMDirectory Service, choisissez et associez la politique AWS gérée AmazonRDSDirectoryServiceAccess à celui-ci.

Pour plus d'informations sur la création de rôles IAM pour un service, consultez la section Création d'un rôle pour déléguer des autorisations à un AWS service dans le Guide de l'utilisateur IAM.

Vous pouvez également créer des stratégies avec les autorisations obligatoires au lieu d'utiliser la politique gérée AmazonRDSDirectoryServiceAccess. Dans ce cas, le rôle IAM doit respecter la politique de confiance IAM suivante :

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Le rôle doit également respecter la politique de rôle IAM suivante :

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Étape 4 : Créer et configurer des utilisateurs

Vous pouvez créer des utilisateurs à l'aide de l'Active Directory Users and Computersoutil. C'est l'un Active Directory Domain Services des Active Directory Lightweight Directory Services outils. Pour plus d'informations, consultez la section Ajouter des utilisateurs et des ordinateurs au Active Directory domaine dans la Microsoft documentation. Dans ce cas, les utilisateurs sont des individus ou d'autres entités, tels que leurs ordinateurs, qui font partie du domaine et dont l'identité est conservée dans l'annuaire.

Pour créer des utilisateurs dans un AWS Directory Service annuaire, vous devez être connecté à une EC2 instance Amazon Windows basée qui est membre de l' AWS Directory Service annuaire. Dans le même temps, vous devez être connecté en tant qu'utilisateur autorisé à créer des utilisateurs. Pour plus d'informations, consultez Créer un utilisateur dans le Guide d'administration AWS Directory Service .

Étape 5 : créer un groupe d'administrateurs RDS pour DB2 dans AWS Managed Microsoft AD

RDS pour Db2 ne prend pas en charge Kerberos l'authentification de l'utilisateur principal ou des deux utilisateurs réservés Amazon RDS et. rdsdb rdsadmin Vous devez plutôt créer un nouveau groupe appelé masterdba in AWS Managed Microsoft AD. Pour plus d'informations, voir Créer un compte de groupe Active Directory dans la Microsoft documentation. Tous les utilisateurs que vous ajoutez à ce groupe auront des privilèges d'utilisateur principal.

Une fois Kerberos l'authentification activée, l'utilisateur principal perd son masterdba rôle. Par conséquent, l'utilisateur principal ne pourra pas accéder à l'appartenance au groupe d'utilisateurs local de l'instance à moins que vous ne désactiviez Kerberos l'authentification. Pour continuer à utiliser l'utilisateur principal connecté par mot de passe, créez un utilisateur AWS Managed Microsoft AD portant le même nom que l'utilisateur principal. Ajoutez ensuite cet utilisateur au groupemasterdba.

Étape 6 : Modifier le paramètre de base de données

Si vous prévoyez d'utiliser AWS Managed Microsoft AD uniquement, passez àÉtape 7 : créer ou modifier une instance de base de données RDS pour DB2.

Pour activer l'authentification Kerberos à l'aide de votre Active Directory autogéré, vous devez définir le paramètre sur AWS_MANAGED_AD_WITH_TRUST dans votre groupe rds.active_directory_configuration de paramètres. Par défaut, ce paramètre est défini sur AWS_MANAGED_AD pour l'utilisation de AWS Managed Microsoft AD uniquement.

Pour plus d'informations sur la modification des paramètres de base de données, consultezModification des paramètres dans les groupes de paramètres.

Étape 7 : créer ou modifier une instance de base de données RDS pour DB2

Créez ou modifiez une instance de base de données RDS pour DB2 à utiliser avec votre annuaire. Vous pouvez utiliser l'API AWS Management Console AWS CLI, le ou l'API RDS pour associer une instance de base de données à un annuaire. Vous pouvez effectuer cette opération de différentes manières :

Kerberosl'authentification n'est prise en charge que pour les instances de base de données RDS pour DB2 dans un VPC. L'instance de base de données peut être dans le même VPC que l'annuaire ou dans un VPC différent. L'instance de base de données doit utiliser un groupe de sécurité qui autorise l'entrée et la sortie au sein du VPC du répertoire afin que l'instance de base de données puisse communiquer avec l'annuaire.

Étape 8 : récupérer le SID du groupe Active Directory dans PowerShell

Un ID de sécurité (SID) identifie de manière unique un principal de sécurité ou un groupe de sécurité. Lorsqu'un groupe ou un compte de sécurité est créé dans Active Directory, Active Directory attribue un SID au groupe. Pour récupérer le SID du groupe de sécurité AD depuis Active Directory, utilisez l'Get-ADGroupapplet de commande sur un ordinateur client Windows qui fait partie du domaine Active Directory. Le Identity paramètre indique le nom du groupe Active Directory pour lequel vous souhaitez obtenir le SID.

L'exemple suivant renvoie le SID du groupe Active Directoryadgroup1.

C:\Users\Admin> Get-ADGroup -Identity adgroup1 | select SID

             SID
-----------------------------------------------
S-1-5-21-3168537779-1985441202-1799118680-1612

Vous devez générer ce mappage pour tous les groupes concernés par la base de données.

Étape 9 : ajouter un SID aux GroupName mappages vers votre instance de base de données RDS pour DB2

Vous devez ajouter le SID aux GroupName mappages créés à l'étape précédente à votre instance de base de données RDS pour DB2. Pour chaque mappage, appelez la procédure stockée suivante. Remplacez le SID et group_name par vos propres informations.

db2 connect to rdsadmin
db2 "call rdsadmin.set_sid_group_mapping(?, 'SID','group_name')"

Pour de plus amples informations, veuillez consulter rdsadmin.set_sid_group_mapping.

Pour plus d'informations sur la vérification de l'état de la tâche, consultezrdsadmin.get_task_status.

Étape 10 : Configuration d'un client DB2

L'exemple suivant est le contenu du fichier /etc/krb5.conf pour : AWS Managed Microsoft AD

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM