View a markdown version of this page

Configurazione dell'autenticazione IAM per le connessioni di replica logica - Amazon Relational Database Service
PrerequisitiAbilitazione dell'autenticazione IAM per le connessioni di replicaDisattivazione dell'autenticazione IAM per le connessioni di replicaConsiderazioni e limitazioni

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione dell'autenticazione IAM per le connessioni di replica logica

A partire da RDS per PostgreSQL versioni 11 e successive, puoi usare AWS Identity and Access Management Autenticazione (IAM) per le connessioni di replica. Questa funzionalità migliora la sicurezza consentendo di gestire l'accesso al database utilizzando i ruoli IAM anziché le password. Funziona sia a livello di granularità del cluster che dell'istanza e segue lo stesso modello di sicurezza dell'autenticazione IAM standard.

L'autenticazione IAM per le connessioni di replica è una funzionalità opzionale. Per abilitarla, imposta rds.iam_auth_for_replication parametro su 1 nel cluster DB o nel gruppo di parametri DB. Trattandosi di un parametro dinamico, non è necessario riavviare il cluster o l'istanza DB, consentendoti di sfruttare l'autenticazione IAM con i carichi di lavoro esistenti senza tempi di inattività. Prima di abilitare questa funzionalità, è necessario soddisfare i prerequisiti elencati di seguito.

Prerequisiti

Per utilizzare l'autenticazione IAM per le connessioni di replica, è necessario soddisfare tutti i seguenti requisiti:

  • L'istanza DB RDS per PostgreSQL deve essere la versione 11 o successiva.

  • Nell'istanza DB RDS for PostgreSQL dell'editore:

Nella replica logica, l'editore è il database RDS di origine per PostgreSQL che invia i dati al database degli abbonati. Per ulteriori informazioni, consulta Esecuzione della replica logica per Amazon RDS for PostgreSQL.

Nota

Sia l'autenticazione IAM che la replica logica devono essere abilitate sull'istanza DB RDS for PostgreSQL dell'editore. Se una delle due non è abilitata, non puoi utilizzare l'autenticazione IAM per le connessioni di replica.

Abilitazione dell'autenticazione IAM per le connessioni di replica

Completa i passaggi seguenti per abilitare l'autenticazione IAM per la connessione di replica.

Per abilitare l'autenticazione IAM per le connessioni di replica

  1. Verifica che il tuo cluster o istanza DB RDS for PostgreSQL soddisfi tutti i prerequisiti per l'autenticazione IAM con connessioni di replica. Per informazioni dettagliate, vedi Prerequisiti.

  2. Configura il rds.iam_auth_for_replication parametro basato sulla configurazione RDS per PostgreSQL:

    • Per le istanze DB RDS per PostgreSQL: modifica il gruppo di parametri DB.

    • Per Multi-AZ clusters: modifica il gruppo di parametri del cluster DB.

    Imposta rds.iam_auth_for_replication a 1. Si tratta di un parametro dinamico che ha effetto immediato senza richiedere un riavvio.

    Nota

    Multi-AZ i cluster utilizzano solo gruppi di parametri del cluster DB. I gruppi di parametri delle singole istanze non possono essere modificati in Multi-AZ cluster.

  3. Connettiti al tuo database e concedi i ruoli necessari all'utente di replica:

    I seguenti comandi SQL concedono i ruoli necessari per abilitare l'autenticazione IAM per le connessioni di replica:

    
-- Grant IAM authentication role
GRANT rds_iam TO replication_user_name;

-- Grant replication privileges
GRANT rds_replication TO replication_user_name;

    Dopo aver completato questi passaggi, l'utente specificato deve utilizzare l'autenticazione IAM per le connessioni di replica.

    Importante

    Quando abiliti la funzionalità, gli utenti con entrambe rds_iam e rds_replication i ruoli devono utilizzare l'autenticazione IAM per le connessioni di replica. Ciò vale sia che i ruoli siano assegnati direttamente all'utente o ereditati tramite altri ruoli.

Disattivazione dell'autenticazione IAM per le connessioni di replica

Puoi disabilitare l'autenticazione IAM per le connessioni di replica utilizzando uno dei seguenti metodi:

  • Imposta il rds.iam_auth_for_replication parametro su 0 nel gruppo di parametri DB per le istanze DB o nel gruppo di parametri del cluster DB per Multi-AZ cluster.

  • In alternativa, puoi disabilitare una di queste funzionalità sul tuo cluster o istanza RDS for PostgreSQL DB:

    • Disabilita la replica logica impostando rds.logical_replication parametro su 0

    • Disabilita l'autenticazione IAM

Quando si disabilita la funzionalità, le connessioni di replica possono utilizzare le password del database per l'autenticazione.

Nota

Connessioni di replica per utenti senza rds_iam il ruolo può utilizzare l'autenticazione tramite password anche quando la funzionalità è abilitata.

Considerazioni e limitazioni

Considera le seguenti limitazioni e considerazioni quando usi l'autenticazione IAM per le connessioni di replica logica:

  • Questa funzionalità è disponibile solo per RDS per PostgreSQL versioni 11 e successive.

  • L'editore deve supportare l'autenticazione IAM per le connessioni di replica.

  • Per impostazione predefinita, il token di autenticazione IAM scade dopo 15 minuti. Potrebbe essere necessario aggiornare le connessioni di replica di lunga durata prima della scadenza del token.