Membuat kredenSIAL IAM sementara

Untuk membuat peran IAM dengan izin untuk memanggil GetClusterCredentialsWithIAM

1. Menggunakan layanan IAM, buat pengguna atau peran. Anda juga dapat menggunakan pengguna atau peran yang ada. Misalnya, jika Anda membuat peran IAM untuk akses penyedia identitas, Anda dapat melampirkan kebijakan IAM yang diperlukan ke peran tersebut.

2. Lampirkan kebijakan izin dengan izin untuk memanggil redshift:GetClusterCredentialsWithIAM operasi. Contoh kebijakan berikut menunjukkan opsi untuk mengizinkan operasi untuk cluster dan database tertentu, database apa pun dalam cluster, dan database apa pun di cluster apa pun.

   {
       "Version": "2012-10-17", 
       "Statement": [
           {
               "Sid": "SpecificClusterAndDBName",
               "Effect": "Allow",
               "Action": "redshift:GetClusterCredentialsWithIAM",
               "Resource": [
                   "arn:aws:redshift:us-east-1:123456789012:dbname:testcluster/testdatabase"
               ]
           },
           {
               "Sid": "SpecificClusterAndAnyDBName",
               "Effect": "Allow",
               "Action": "redshift:GetClusterCredentialsWithIAM",
               "Resource": "arn:aws:redshift:us-east-1:123456789012:dbname:examplecluster/*",
           },
           {
               "Sid": "AnyClusterAnyDatabase",
               "Effect": "Allow",
               "Action": "redshift:GetClusterCredentialsWithIAM",
               "Resource": "*"
           }
       ]
   }

Untuk membuat peran IAM dengan izin untuk memanggil GetClusterCredentials

1. Menggunakan layanan IAM, buat pengguna atau peran. Anda juga dapat menggunakan pengguna atau peran yang ada. Misalnya, jika Anda membuat peran IAM untuk akses penyedia identitas, Anda dapat melampirkan kebijakan IAM yang diperlukan ke peran tersebut.

2. Lampirkan kebijakan izin dengan izin untuk memanggil redshift:GetClusterCredentials operasi. Bergantung pada parameter opsional yang Anda tentukan, Anda juga dapat mengizinkan atau membatasi tindakan dan sumber daya tambahan dalam kebijakan Anda:

   • Untuk mengizinkan klien SQL Anda mengambil ID cluster, Wil AWS ayah, dan port, sertakan izin untuk memanggil redshift:DescribeClusters operasi dengan sumber daya cluster Redshift.

   • Jika Anda menggunakan AutoCreate opsi ini, sertakan izin untuk menelep redshift:CreateClusterUser on dengan dbuser sumber daya. Nama Sumber Daya Amazon (ARN) berikut menentukan Amazon Redshiftdbuser. G region antiaccount-id,, dan cluster-name dengan nilai untuk Wil AWS ayah, akun, dan cluster Anda. Untukdbuser-name, tentukan nama pengguna yang akan digunakan untuk masuk ke database cluster.

     arn:aws:redshift:region:account-id:dbuser:cluster-name/dbuser-name
                             

   • (Opsional) Tambahkan ARN yang menentukan dbname sumber daya Amazon Redshift dalam format berikut. G region antiaccount-id,, dan cluster-name dengan nilai untuk Wil AWS ayah, akun, dan cluster Anda. Untukdatabase-name, tentukan nama database yang pengguna akan masuk ke.

     arn:aws:redshift:region:account-id:dbname:cluster-name/database-name
                             

   • Jika Anda menggunakan DbGroups opsi ini, sertakan izin untuk memanggil redshift:JoinGroup operasi dengan dbgroup sumber daya Amazon Redshift dalam format berikut. G region antiaccount-id,, dan cluster-name dengan nilai untuk Wil AWS ayah, akun, dan cluster Anda. Untukdbgroup-name, tentukan nama grup pengguna yang bergabung pengguna saat login.

     arn:aws:redshift:region:account-id:dbgroup:cluster-name/dbgroup-name

Untuk membuat pengguna database dan grup basis data

1. Masuk ke database Amazon Redshift Anda dan buat pengguna database menggunakan CREATE USER atau ubah pengguna yang ada menggunakan ALTER USER.

2. Secara opsional, tentukan opsi PASSWORD DISABLE untuk mencegah pengguna menggunakan kata sandi. Ketika kata sandi pengguna dinonaktifkan, pengguna dapat masuk hanya menggunakan kredenSIAL sementara. Jika kata sandi tidak dinonaktifkan, pengguna dapat masuk dengan kata sandi atau menggunakan kredenSIAL sementara. Anda tidak dapat menonaktifkan kata sandi untuk pengguna super.

   Pengguna memerlukan akses terprogram jika mereka ingin berinteraksi dengan AWS di luar. Konsol Manajemen AWS Cara untuk memberikan akses terprogram tergantung pada jenis pengguna yang mengakses AWS.

   Untuk memberi pengguna akses programatis, pilih salah satu opsi berikut.

   Pengguna mana yang membutuhkan akses programatis?	Untuk	Oleh
   IAM	(Disarankan) Gunakan kredenSIAL konsol sebagai kredenSIAL sementara untuk menandatangani permintaan terprogram ke AWS CLI, AWS SDK, atau AWS API.	Mengikuti petunjuk untuk antarmuka yang ingin Anda gunakan. Untuk AWS CLI, lihat Login untuk pengembangan AWS lokal di Panduan AWS Command Line Interface Pengguna. Untuk AWS SDK, lihat Login untuk pengembangan AWS lokal di Panduan Refer AWS ensi SDK dan Alat.
   Identitas tenaga kerja (Pengguna yang dikelola di Pusat Identitas IAM)	Gunakan kredenSIAL sementara untuk menandatangani permintaan terprogram ke AWS CLI, AWS SDK, atau AWS API.	Mengikuti petunjuk untuk antarmuka yang ingin Anda gunakan. Untuk AWS CLI, lihat Meng onfigurasi AWS CLI untuk digunakan AWS IAM Identity Center di Panduan AWS Command Line Interface Pengguna. Untuk AWS SDK, alat, dan AWS API, lihat otentikasi Pusat Identitas IAM di Panduan Refer AWS ensi SDK dan Alat.
   IAM	Gunakan kredenSIAL sementara untuk menandatangani permintaan terprogram ke AWS CLI, AWS SDK, atau AWS API.	Mengikuti petunjuk dalam Menggunakan kredenSIAL sementara dengan AWS sumber daya di Panduan Pengguna IAM.
   IAM	(Tidak direkomendasikan) Gunakan kredentif jangka panjang untuk menandatangani permintaan terprogram ke AWS CLI, AWS SDK, atau AWS API.	Mengikuti petunjuk untuk antarmuka yang ingin Anda gunakan. Untuk itu AWS CLI, lihat Meng autentikasi menggunakan kredentif pengguna IAM di Panduan AWS Command Line Interface Pengguna. Untuk AWS SDK dan alat, lihat Meng autentikasi menggunakan kredentif jangka panjang di Panduan Refer AWS ensi SDK dan Alat. Untuk AWS API, lihat M engelola kunci akses untuk pengguna IAM di Panduan Pengguna IAM.

   Contoh berikut membuat pengguna dengan kata sandi dinonaktifkan.

   create user temp_creds_user password disable; 

   Contoh berikut menonaktifkan kata sandi untuk pengguna yang ada.

   alter user temp_creds_user password disable;

3. Buat grup pengguna database menggunakan CREATE GROUP.

4. Gunakan perintah GRANT untuk menentukan hak akses untuk grup.

Untuk mengonfigurasi koneksi JDBC untuk menggunakan kredenSIAL IAM

1. Unduh driver Amazon Redshift JDBC terbaru dari halaman. Mengkonfigurasi koneksi untuk driver JDBC versi 2.x untuk Amazon Redshift

2. Buat URL JDBC dengan opsi kredenSIAL IAM dalam salah satu format berikut. Untuk menggunakan otentikasi IAM, tambahkan iam: ke Amazon Redshift JDBC URL berikut jdbc:redshift: seperti yang ditunjukkan pada contoh berikut.

   jdbc:redshift:iam://

   Tambahkancluster-name,region, danaccount-id. Driver JDBC menggunakan informasi akun IAM Anda dan nama cluster untuk mengambil ID cluster dan Wilayah. AWS Untuk melakukannya, pengguna atau peran Anda harus memiliki izin untuk memanggil redshift:DescribeClusters operasi dengan cluster yang ditentukan. Jika pengguna atau peran Anda tidak memiliki izin untuk memanggil redshift:DescribeClusters operasi, sertakan ID cluster, Wil AWS ayah, dan port seperti yang ditunjukkan pada contoh berikut. Nomor port adalah opsional.

   jdbc:redshift:iam://examplecluster.abc123xyz789.us-west-2.redshift.amazonaws.com:5439/dev

3. Tambahkan opsi JDBC untuk memberikan kredenSIAL IAM. Anda menggunakan kombinasi opsi JDBC yang berbeda untuk memberikan kredenSIAL IAM. Lihat perinciannya di Opsi JDBC dan ODBC untuk membuat kredenSIAL pengguna database.

   URL berikut menentukan AccessKey ID dan SecretAccessKey untuk pengguna.

   jdbc:redshift:iam://examplecluster:us-west-2/dev?AccessKeyID=AKIAIOSFODNN7EXAMPLE&SecretAccessKey=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

   Contoh berikut menentukan profil bernama yang berisi kredenSIAL IAM.

   jdbc:redshift:iam://examplecluster:us-west-2/dev?Profile=user2

4. Tambahkan opsi JDBC yang digunakan driver JDBC untuk memanggil operasi API. GetClusterCredentials Jangan sertakan opsi ini jika Anda memanggil operasi GetClusterCredentials API secara terprogram.

   Contoh berikut mencakup opsi JDBC. GetClusterCredentials

   jdbc:redshift:iam://examplecluster:us-west-2/dev?plugin_name=com.amazon.redshift.plugin.AzureCredentialsProvider&UID=user&PWD=password&idp_tenant=my_tenant&client_secret=my_secret&client_id=my_id

Untuk mengonfigurasi koneksi ODBC untuk menggunakan kredenSIAL IAM

Dalam prosedur berikut, Anda dapat menemukan langkah-langkah hanya untuk mengonfigurasi otentikasi IAM. Untuk langkah-langkah menggunakan otentikasi standar, menggunakan nama pengguna dan kata sandi database, lihatMengkonfigurasi koneksi untuk driver ODBC versi 2.x untuk Amazon Redshift.

1. Instal dan konfigurasikan driver Amazon Redshift OBDC terbaru untuk sistem operasi Anda. Untuk informasi lebih lanjut, lihat Mengkonfigurasi koneksi untuk driver ODBC versi 2.x untuk Amazon Redshift halaman.

   penting

   Driver Amazon Redshift ODBC harus versi 1.3.6.1000 atau yang lebih baru.

2. Ikuti langkah-langkah untuk sistem operasi Anda untuk mengonfigurasi pengaturan koneksi.

3. Pada sistem operasi Microsoft Windows, akses jendela Pengaturan DSN Driver ODBC Amazon Redshift.

   1. Di bawah Pengaturan Koneksi, masukkan informasi berikut:

      • Nama Sumber Data

      • Server (opsional)

      • Port (opsional)

      • Basis Data

      Jika pengguna atau peran Anda memiliki izin untuk memanggil redshift:DescribeClusters operasi, hanya Nama Sumber Data dan Database yang diperlukan. Amazon Redshift menggunakan ClusterId dan Wilayah untuk mendapatkan server dan port dengan memanggil DescribeCluster operasi.

      Jika pengguna atau peran Anda tidak memiliki izin untuk memanggil redshift:DescribeClusters operasi, tentukan Server dan Port.

   2. Di bawah O tentikasi, pilih nilai untuk Jenis Auth.

      Untuk setiap jenis otentikasi, masukkan nilai seperti yang tercantum sebagai berikut:

      AWS Profil

      Masukkan informasi berikut:

      • ID Cluster

      • Wilayah

      • Nama profil

        Masukkan nama profil dalam file AWS konfigurasi yang berisi nilai untuk opsi koneksi ODBC. Untuk informasi selengkapnya, lihat Menggunakan profil konfigurasi.

      (Opsional) Berikan rincian opsi yang digunakan driver ODBC untuk memanggil operasi GetClusterCredentials API:

      • DbUser

      • Pengguna AutoCreate

      • DbGroups

        Untuk informasi selengkapnya, lihat Opsi JDBC dan ODBC untuk membuat kredenSIAL pengguna database.

      Kredensibilitas IAM

      Masukkan informasi berikut:

      • ID Cluster

      • Wilayah

      • AccessKeyID dan SecretAccessKey

        ID kunci akses dan kunci akses rahasia untuk peran IAM atau pengguna yang dikonfigurasi untuk otentikasi database IAM.

      • SessionToken

        SessionTokendiperlukan untuk peran IAM dengan kredenSIAL sementara. Untuk informasi selengkapnya, lihat KredenSIAL Keamanan Sementara.

      Berikan rincian untuk opsi yang digunakan driver ODBC untuk memanggil operasi GetClusterCredentials API:

      • DbUser(diperlukan)

      • Pengguna AutoCreate (opsional)

      • DbGroups (opsional)

        Untuk informasi selengkapnya, lihat Opsi JDBC dan ODBC untuk membuat kredenSIAL pengguna database.

      Penyedia Identitas: AD FS

      Untuk Otentikasi Terintegrasi Windows dengan AD FS, biarkan Pengguna dan Kata Sandi kosong.

      Berikan rincian IdP:

      • Tuan Rumah IdP

        Nama host penyedia identitas perusahaan. Nama ini tidak boleh menyertakan garis miring (/).

      • Port IdP (opsional)

        Port yang digunakan oleh penyedia identitas. Default-nya adalah 443.

      • Peran Pilihan

        Nama Sumber Daya Amazon (ARN) untuk peran IAM dari AttributeValue elemen multi-nilai untuk Role atribut dalam pernyataan SAML. Untuk menemukan nilai yang sesuai untuk peran yang disukai, bekerjasama dengan administrator IdP Anda. Untuk informasi selengkapnya, lihat Langkah 2: Konfigurasikan pernyataan SAML untuk IdP Anda.

      (Opsional) Berikan rincian opsi yang digunakan driver ODBC untuk memanggil operasi GetClusterCredentials API:

      • DbUser

      • Pengguna AutoCreate

      • DbGroups

      Untuk informasi selengkapnya, lihat Opsi JDBC dan ODBC untuk membuat kredenSIAL pengguna database.

      Penyedia Identitas: PingFederate

      Untuk Pengguna dan Kata Sandi, masukkan nama pengguna dan kata sandi IdP Anda.

      Berikan rincian IdP:

      • Tuan Rumah IdP

        Nama host penyedia identitas perusahaan. Nama ini tidak boleh menyertakan garis miring (/).

      • Port IdP (opsional)

        Port yang digunakan oleh penyedia identitas. Default-nya adalah 443.

      • Peran Pilihan

        Nama Sumber Daya Amazon (ARN) untuk peran IAM dari AttributeValue elemen multi-nilai untuk Role atribut dalam pernyataan SAML. Untuk menemukan nilai yang sesuai untuk peran yang disukai, bekerjasama dengan administrator IdP Anda. Untuk informasi selengkapnya, lihat Langkah 2: Konfigurasikan pernyataan SAML untuk IdP Anda.

      (Opsional) Berikan rincian opsi yang digunakan driver ODBC untuk memanggil operasi GetClusterCredentials API:

      • DbUser

      • Pengguna AutoCreate

      • DbGroups

      Untuk informasi selengkapnya, lihat Opsi JDBC dan ODBC untuk membuat kredenSIAL pengguna database.

      Penyedia Identitas: Okta

      Untuk Pengguna dan Kata Sandi, masukkan nama pengguna dan kata sandi IdP Anda.

      Berikan rincian IdP:

      • Tuan Rumah IdP

        Nama host penyedia identitas perusahaan. Nama ini tidak boleh menyertakan garis miring (/).

      • Port IdP

        Nilai ini tidak digunakan oleh Okta.

      • Peran Pilihan

        Nama Sumber Daya Amazon (ARN) untuk peran IAM dari AttributeValue elemen untuk Role atribut dalam pernyataan SAML. Untuk menemukan nilai yang sesuai untuk peran yang disukai, bekerjasama dengan administrator IdP Anda. Untuk informasi selengkapnya, lihat Langkah 2: Konfigurasikan pernyataan SAML untuk IdP Anda.

      • ID Aplikasi Okta

        ID untuk aplikasi Okta. Nilai untuk ID Aplikasi mengikuti “amazon_aws” di tautan sematkan aplikasi Okta. Bekerja dengan administrator IdP Anda untuk mendapatkan nilai ini.

      (Opsional) Berikan rincian opsi yang digunakan driver ODBC untuk memanggil operasi GetClusterCredentials API:

      • DbUser

      • Pengguna AutoCreate

      • DbGroups

      Untuk informasi selengkapnya, lihat Opsi JDBC dan ODBC untuk membuat kredenSIAL pengguna database.

      Penyedia Identitas: Azure AD

      Untuk Pengguna dan Kata Sandi, masukkan nama pengguna dan kata sandi IdP Anda.

      Untuk ID Cluster dan Wilayah, masukkan ID cluster dan AWS Wilayah cluster Amazon Redshift Anda.

      Untuk Database, masukkan database yang Anda buat untuk cluster Amazon Redshift Anda.

      Berikan rincian IdP:

      • Penyewa IdP

        Penyewa yang digunakan untuk Azure AD.

      • Rahasia Klien Azure

        Rahasia klien aplikasi perusahaan Amazon Redshift di Azure.

      • ID Klien Azure

        ID klien (ID aplikasi) aplikasi perusahaan Amazon Redshift di Azure.

      (Opsional) Berikan rincian opsi yang digunakan driver ODBC untuk memanggil operasi GetClusterCredentials API:

      • DbUser

      • Pengguna AutoCreate

      • DbGroups

      Untuk informasi selengkapnya, lihat Opsi JDBC dan ODBC untuk membuat kredenSIAL pengguna database.