Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione Kerberos dell'autenticazione per le istanze database Amazon RDS per Db2

Si utilizza AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) per configurare Kerberos l'autenticazione per un'istanza DB RDS for Db2. Per configurare Kerberos l'autenticazione, procedi nel seguente modo:

Passaggio 1: creare una directory utilizzando AWS Managed Microsoft AD

AWS Directory Service crea un file completamente gestito Active Directory in Cloud AWS. Quando crei una AWS Managed Microsoft AD directory, AWS Directory Service crea automaticamente due controller di dominio e server DNS. I server di directory vengono creati in sottoreti diverse in un VPC. Questa ridondanza assicura che la directory rimanga accessibile anche se si verifica un errore.

Quando crei una AWS Managed Microsoft AD directory, AWS Directory Service esegue le seguenti attività per tuo conto:

All'avvio AWS Directory Service for Microsoft Active Directory, AWS crea un'unità organizzativa (OU) che contiene tutti gli oggetti della directory. Questa unità organizzativa, che ha lo stesso nome NetBIOS che hai immesso al momento della creazione della directory, si trova nella radice del dominio. La radice del dominio è di proprietà e gestita da AWS.

L'Adminaccount creato con la AWS Managed Microsoft AD directory dispone delle autorizzazioni per le attività amministrative più comuni dell'unità organizzativa:

L'account Admin dispone anche dei diritti per eseguire queste attività in tutto il dominio:

Per creare la directory sono necessari alcuni minuti. Una volta creata correttamente la directory, il valore Status (Stato) viene modificato in Active (Attivo).

Per visualizzare le informazioni sulla tua directory, scegli l'ID della directory in Directory ID. Prendere nota del valore Directory ID (ID directory). È necessario questo valore quando si crea o si modifica l'istanza DB RDS for Db2.

Fase 2: creare un ruolo IAM a cui accedere ad Amazon RDS AWS Directory Service

Affinché Amazon RDS possa AWS Directory Service chiamarti, hai Account AWS bisogno di un ruolo IAM che utilizzi la policy AmazonRDSDirectoryServiceAccess IAM gestita. Questo ruolo consente ad Amazon RDS di effettuare chiamate verso AWS Directory Service.

Quando crei un'istanza DB utilizzando AWS Management Console e l'account utente della console dispone dell'iam:CreateRoleautorizzazione, la console crea automaticamente il ruolo IAM necessario. In questo caso, il nome del ruolo è rds-directoryservice-kerberos-access-role. In caso contrario, è necessario creare manualmente il ruolo IAM. Quando crei questo ruolo IAMDirectory Service, scegli e allega la policy AWS gestita AmazonRDSDirectoryServiceAccess ad esso.

Per ulteriori informazioni sulla creazione di ruoli IAM per un servizio, consulta Creating a role to delegate permissions to an AWS service nella IAM User Guide.

Facoltativamente, puoi creare policy con le autorizzazioni richieste anziché utilizzare la policy AmazonRDSDirectoryServiceAccess gestita. In questo caso, il ruolo IAM deve avere la seguente policy di fiducia IAM:

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Il ruolo deve inoltre avere la seguente politica di ruolo IAM:

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Fase 3: creazione e configurazione di utenti

È possibile creare utenti utilizzando lo Active Directory Users and Computers strumento. Questo è uno dei Active Directory Domain Services seguenti Active Directory Lightweight Directory Services strumenti. Per ulteriori informazioni, consulta Aggiungere utenti e computer al Active Directory dominio nella Microsoft documentazione. In questo caso, gli utenti sono individui o altre entità, come i rispettivi computer, che fanno parte del dominio e le cui identità vengono mantenute nella directory.

Per creare utenti in una AWS Directory Service directory, devi essere connesso a un' EC2 istanza Amazon Windows basata su Amazon che fa parte della AWS Directory Service directory. Allo stesso tempo, devi accedere come utente con i privilegi per creare utenti. Per ulteriori informazioni, consulta Creazione di un utente nella Guida di amministrazione di AWS Directory Service .

Passaggio 4: Creare un gruppo di amministratori RDS for Db2 in AWS Managed Microsoft AD

RDS per Db2 non supporta Kerberos l'autenticazione per l'utente master o per i due utenti riservati di Amazon RDS e. rdsdb rdsadmin È invece necessario creare un nuovo gruppo chiamato in. masterdba AWS Managed Microsoft AD Per ulteriori informazioni, consulta Creare un account di gruppo Active Directory nella Microsoft documentazione. Tutti gli utenti aggiunti a questo gruppo avranno i privilegi di utente principale.

Dopo aver abilitato Kerberos l'autenticazione, l'utente principale perde il masterdba ruolo. Di conseguenza, l'utente master non sarà in grado di accedere all'appartenenza al gruppo di utenti locale dell'istanza a meno che non si disabiliti Kerberos l'autenticazione. Per continuare a utilizzare l'utente master con accesso tramite password, crea un utente AWS Managed Microsoft AD con lo stesso nome dell'utente principale. Quindi, aggiungi quell'utente al gruppomasterdba.

Passaggio 5: creare o modificare un'istanza DB RDS for Db2

Crea o modifica un'istanza DB RDS for Db2 da utilizzare con la tua directory. È possibile utilizzare l'API AWS Management Console AWS CLI, the o RDS per associare un'istanza DB a una directory. Questa operazione può essere eseguita in uno dei seguenti modi:

Kerberosl'autenticazione è supportata solo per le istanze DB RDS per Db2 in un VPC. L'istanza database Oracle può trovarsi nello stesso VPC della directory o in un VPC diverso. L'istanza DB deve utilizzare un gruppo di sicurezza che consenta l'ingresso e l'uscita all'interno del VPC della directory in modo che l'istanza DB possa comunicare con la directory.

Fase 6: Configurazione di un client Db2

L'esempio seguente è il contenuto del file /etc/krb5.conf per: AWS Managed Microsoft AD

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM