Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyiapkan Kerberos otentikasi untuk Amazon RDS untuk instans Db2 DB

Anda menggunakan AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) untuk mengatur Kerberos otentikasi untuk RDS untuk instans Db2 DB. Untuk mengatur autentikasi Kerberos, ikuti langkah-langkah ini:

Langkah 1: Buat direktori menggunakan AWS Managed Microsoft AD

AWS Directory Service menciptakan yang dikelola sepenuhnya Active Directory di AWS Cloud. Saat Anda membuat AWS Managed Microsoft AD direktori, AWS Directory Service buat dua pengontrol domain dan server DNS untuk Anda. Server-server direktori dibuat di subnet yang berbeda di VPC. Redundansi ini membantu memastikan bahwa direktori Anda tetap dapat diakses meskipun terjadi kegagalan.

Saat Anda membuat AWS Managed Microsoft AD direktori, AWS Directory Service lakukan tugas-tugas berikut atas nama Anda:

Saat Anda meluncurkan AWS Directory Service for Microsoft Active Directory, AWS buat unit organisasi (OU) yang berisi semua objek direktori Anda. OU ini memiliki nama NetBIOS yang Anda masukkan saat membuat direktori, dan terletak di root domain. Root domain dimiliki dan dikelola oleh AWS.

AdminAkun yang dibuat dengan AWS Managed Microsoft AD direktori Anda memiliki izin untuk kegiatan administratif yang paling umum untuk OU Anda:

Akun Admin juga memiliki hak melakukan aktivitas-aktivitas selingkup domain berikut:

Dibutuhkan beberapa menit sampai direktori terbuat. Setelah direktori berhasil dibuat, nilai Status berubah menjadi Aktif.

Untuk melihat informasi tentang direktori Anda, pilih ID direktori di ID Direktori. Buat catatan tentang nilai ID Direktori. Anda memerlukan nilai ini saat membuat atau mengubah instans basis data RDS for Db2.

Langkah 2: Buat kepercayaan

Jika Anda berencana untuk menggunakan Microsoft AD yang AWS Dikelola saja, lewati keLangkah 3: Buat peran IAM untuk Amazon RDS untuk mengakses AWS Directory Service.

Untuk mengaktifkan otentikasi Kerberos menggunakan Active Directory yang dikelola sendiri, Anda harus membuat hubungan kepercayaan hutan antara Active Directory yang dikelola sendiri dan Active Directory. Forest trust adalah hubungan kepercayaan antara Microsoft AD dan Active Directory yang dikelola sendiri dan yang AWS Managed Microsoft AD dibuat pada langkah sebelumnya. Kepercayaan juga dapat bersifat dua arah, di mana kedua Active Directory saling mempercayai. Untuk informasi selengkapnya tentang cara menyiapkan trust hutan AWS Directory Service, lihat Kapan membuat hubungan kepercayaan di AWS Directory Service Administration Guide.

Langkah 3: Buat peran IAM untuk Amazon RDS untuk mengakses AWS Directory Service

Agar Amazon RDS memanggil AWS Directory Service Anda, Anda Akun AWS memerlukan peran IAM yang menggunakan kebijakan IAM terkelola. AmazonRDSDirectoryServiceAccess Peran ini memungkinkan Amazon RDS melakukan panggilan ke AWS Directory Service.

Saat Anda membuat instans DB menggunakan AWS Management Console dan akun pengguna konsol Anda memiliki iam:CreateRole izin, konsol akan membuat peran IAM yang diperlukan secara otomatis. Dalam hal ini, nama perannya adalah rds-directoryservice-kerberos-access-role. Jika tidak, Anda harus membuat peran IAM secara manual. Saat Anda membuat peran IAM ini, pilihDirectory Service, dan lampirkan kebijakan AWS terkelola AmazonRDSDirectoryServiceAccess padanya.

Untuk informasi selengkapnya tentang membuat peran IAM untuk layanan, lihat Membuat peran untuk mendelegasikan izin ke AWS layanan di Panduan Pengguna IAM.

Sebagai alternatif untuk penggunaan kebijakan terkelola AmazonRDSDirectoryServiceAccess, Anda dapat membuat kebijakan dengan izin-izin yang diperlukan. Dalam hal ini, peran IAM harus memiliki kebijakan kepercayaan IAM berikut:

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Peran ini juga harus memiliki kebijakan peran IAM berikut:

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Langkah 4: Buat dan konfigurasikan pengguna

Anda dapat membuat pengguna dengan alat Active Directory Users and Computers. Inilah salah satu alat Active Directory Domain Services dan Active Directory Lightweight Directory Services. Lihat informasi yang lebih lengkap di Add Users and Computers to the Active Directory domain dalam dokumentasi Microsoft. Dalam hal ini, pengguna adalah orang atau entitas lain, seperti komputer, yang merupakan bagian dari domain dan yang identitasnya dipelihara di dalam direktori.

Untuk membuat pengguna di AWS Directory Service direktori, Anda harus terhubung ke EC2 instance Amazon Windows berbasis yang merupakan anggota AWS Directory Service direktori. Pada saat yang sama, Anda harus masuk sebagai pengguna yang memiliki privilese membuat pengguna. Lihat informasi yang lebih lengkap di Membuat pengguna dalam Panduan Administrasi AWS Directory Service .

Langkah 5: Buat RDS untuk grup admin Db2 di AWS Managed Microsoft AD

RDS for Db2 tidak mendukung autentikasi Kerberos untuk pengguna master atau dua pengguna yang dicadangkan Amazon RDS rdsdb dan rdsadmin. Sebagai gantinya, Anda perlu membuat grup baru yang dipanggil masterdba AWS Managed Microsoft AD. Lihat informasi yang lebih lengkap di Create a Group Account in Active Directory dalam dokumentasi Microsoft. Semua pengguna yang Anda tambahkan ke grup ini akan memiliki privilese pengguna master.

Setelah Anda mengaktifkan autentikasi Kerberos, pengguna master kehilangan peran masterdba. Akibatnya, pengguna master tidak akan dapat mengakses keanggotaan grup pengguna lokal instans kecuali Anda menonaktifkan autentikasi Kerberos. Untuk terus menggunakan pengguna master dengan login kata sandi, buat pengguna di AWS Managed Microsoft AD dengan nama yang sama dengan pengguna master. Lalu, tambahkan pengguna itu ke grup masterdba.

Langkah 6: Ubah parameter DB

Jika Anda berencana untuk menggunakan AWS Managed Microsoft AD saja, lewati keLangkah 7: Buat atau modifikasi RDS untuk instans Db2 DB.

Untuk mengaktifkan otentikasi Kerberos menggunakan Active Directory yang dikelola sendiri, Anda harus mengatur parameter rds.active_directory_configuration ke AWS_MANAGED_AD_WITH_TRUST dalam grup parameter Anda. Secara default, parameter ini diatur AWS_MANAGED_AD untuk menggunakan Microsoft AD AWS Terkelola saja.

Untuk informasi tentang memodifikasi parameter DB, lihatMemodifikasi parameter dalam kelompok parameter.

Langkah 7: Buat atau modifikasi RDS untuk instans Db2 DB

Buat atau ubah instans basis data RDS for Db2 untuk digunakan dengan direktori Anda. Anda dapat menggunakan AWS Management Console, AWS CLI, atau RDS API untuk mengaitkan instans basis data dengan direktori. Anda dapat melakukannya dengan salah satu cara berikut:

Autentikasi Kerberos hanya didukung untuk instans basis data RDS for Db2 dalam VPC. Instans basis data boleh berada dalam VPC yang sama dengan direktori, atau dalam VPC yang berbeda. Instans basis data harus menggunakan grup keamanan yang memungkinkan data masuk dan keluar di dalam VPC direktori, sehingga instans basis data dapat berkomunikasi dengan direktori.

Langkah 8: Ambil SID grup Active Directory di PowerShell

ID keamanan (SID) secara unik mengidentifikasi prinsip keamanan atau grup keamanan. Ketika grup keamanan atau akun dibuat di Active Directory, Active Directory menetapkan SID ke grup. Untuk mengambil SID grup keamanan AD dari Active Directory, gunakan Get-ADGroup cmdlet di mesin klien Windows yang merupakan bagian dari domain Active Directory. IdentityParameter menentukan nama grup Active Directory yang Anda inginkan SID untuk.

Contoh berikut mengembalikan SID dari grup Active Directoryadgroup1.

C:\Users\Admin> Get-ADGroup -Identity adgroup1 | select SID

             SID
-----------------------------------------------
S-1-5-21-3168537779-1985441202-1799118680-1612

Anda harus membuat pemetaan ini untuk semua grup yang relevan dengan database.

Langkah 9: Tambahkan SID ke GroupName pemetaan ke RDS Anda untuk instans Db2 DB

Anda perlu menambahkan SID ke GroupName pemetaan yang dibuat pada langkah sebelumnya ke RDS Anda untuk instans Db2 DB. Untuk setiap pemetaan, hubungi prosedur tersimpan berikut. Ganti SID dan group_name dengan informasi Anda sendiri.

db2 connect to rdsadmin
db2 "call rdsadmin.set_sid_group_mapping(?, 'SID','group_name')"

Untuk informasi selengkapnya, lihat rdsadmin.set_sid_group_mapping.

Untuk informasi tentang memeriksa status tugas, lihatrdsadmin.get_task_status.

Langkah 10: Konfigurasikan klien Db2

Contoh berikut adalah /etc/krb5.conf konten file untuk: AWS Managed Microsoft AD

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM