Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Usare l'autenticazione Kerberos con Amazon RDS per PostgreSQL
Puoi utilizzare Kerberos per autenticare gli utenti quando si connettono all'istanza database che esegue PostgreSQL. Per farlo, configura il tuo DB istanza da usare AWS Directory Service for Microsoft Active Directory per l'autenticazione Kerberos. AWS Directory Service for Microsoft Active Directory è anche chiamato AWS Managed Microsoft AD. È una funzionalità disponibile con Servizio di directory. Per saperne di più, vedi Che cos'è Servizio di directory? nel Servizio di directory AWS Guida all'amministrazione.
Per iniziare, crea un AWS Managed Microsoft AD directory in cui archiviare le credenziali dell'utente. Per l'istanza database PostgreSQL, specifica quindi il dominio di Active Directory e altre informazioni. Quando gli utenti eseguono l'autenticazione con l'istanza database PostgreSQL, le richieste di autenticazione vengono inoltrate alla directory AWS Managed Microsoft AD .
Mantenere tutte le credenziali nella stessa directory consente di ridurre il tempo e l'impegno. È disponibile una posizione centralizzata per archiviare e gestire le credenziali per più istanze database. L'uso di una directory può inoltre migliorare il profilo di sicurezza complessivo.
Puoi inoltre accedere alle credenziali da Microsoft Active Directory on-premise. A tale scopo, crea una relazione di dominio trusting in modo che la directory AWS Managed Microsoft AD consideri attendibile Microsoft Active Directory on-premise. In questo modo, gli utenti possono accedere alle istanze PostgreSQL con la stessa esperienza SSO (Single Sign-On) Windows dei carichi di lavoro nella rete locale.
Un database può utilizzare l'autenticazione tramite password o l'autenticazione tramite password con Kerberos o AWS Identity and Access Management autenticazione (IAM). Per ulteriori informazioni sull’autenticazione IAM, consulta Autenticazione del database IAM per MariaDB, MySQL e PostgreSQL.
Nota
RDS per PostgreSQL non supporta l’autenticazione Kerberos per gruppi di Active Directory.
Argomenti
Disponibilità di regioni e versioni
Il supporto varia a seconda delle versioni specifiche di ciascun motore di database e a seconda delle Regioni AWS. Per ulteriori informazioni sulla disponibilità della versione e della regione di RDS per PostgreSQL con autenticazione Kerberos, consulta Regioni e motori di database supportati per l’autenticazione Kerberos in Amazon RDS.
Panoramica dell'autenticazione Kerberos per PostgreSQL DB Istanze
Per configurare l'autenticazione Kerberos per un'istanza database di PostgreSQL, segui queste fasi, descritte dettagliatamente più avanti:
-
Usa AWS Managed Microsoft AD per creare un AWS Managed Microsoft AD cartella. È possibile utilizzare Console di gestione AWS, il AWS CLI, o il Servizio di directory API per creare la directory. Assicurati di aprire le porte in uscita rilevanti nel gruppo di sicurezza della directory in modo che la directory possa comunicare con l'istanzadel .
-
Crea un ruolo che fornisca Amazon RDS accesso per effettuare chiamate verso il tuo AWS Managed Microsoft AD elenco. Per fare ciò, crea un AWS Identity and Access Management ruolo (IAM) che utilizza la policy IAM gestita
AmazonRDSDirectoryServiceAccess.Affinché il ruolo IAM consenta l'accesso, Servizio di token di sicurezza AWS (AWS STS) l'endpoint deve essere attivato nel modo corretto AWS Regione per la tua AWS account. AWS STS gli endpoint sono attivi per impostazione predefinita in tutti Regioni AWS e puoi utilizzarli senza ulteriori azioni. Per ulteriori informazioni, vedere Attivazione e disattivazione AWS STS in un AWS Regione nella Guida per l'utente IAM.
-
Crea e configura gli utenti in AWS Managed Microsoft AD directory utilizzando gli strumenti di Microsoft Active Directory. Per ulteriori informazioni sulla creazione di utenti in Active Directory, vedere Gestisci utenti e gruppi in AWS Microsoft AD gestito nel Servizio di directory Guida all'amministrazione.
-
Se si prevede di salvare la directory e l'istanza database in account AWS o in cloud privati virtuali (VPC, Virtual Private Cloud) differenti, configurare il peering di VPC. Per ulteriori informazioni, consulta Che cos'è il peering di VPC? nella Amazon VPC Peering Guide.
-
Creare o modificare un'istanza database di PostgreSQL dalla console, da CLI o dall'API di RDS utilizzando uno dei seguenti metodi:
È possibile individuare istanza nello stesso Amazon Virtual Private Cloud (VPC) della directory o in un altro AWS account o VPC. Quando crei o modifichi l'istanza database PostgreSQL, completa le seguenti operazioni:
-
Specifica l'identificativo del dominio (identificativo
d-*) generato al momento della creazione della directory. -
Specifica anche il nome del ruolo IAM creato.
-
Assicurati che il gruppo di sicurezza dell'istanza database possa ricevere traffico in entrata dal gruppo di sicurezza della directory.
-
-
Utilizzare le credenziali dell'utente master RDS per connettersi all'istanza database di PostgreSQL. Creare l'utente in PostgreSQL per l'identificazione esterna. Gli utenti identificati esternamente possono accedere all'istanza database di PostgreSQL con l'autenticazione Kerberos.
Considerazioni sull'utilizzo dell'autenticazione Kerberos
Le seguenti considerazioni si applicano quando si utilizza l'autenticazione Kerberos con istanza DB:
-
risoluzione DNS con autenticazione Kerberos durante l'utilizzo AWS integrazione dei servizi
Abilitare l'autenticazione Kerberos sul tuo istanza DB modifica il comportamento di risoluzione DNS, il che può influire sull'integrazione con AWS servizi come Lambda.
Quando abiliti l'autenticazione Kerberos, istanza DB dà priorità AWS Managed Microsoft AD Server DNS rispetto ai resolver DNS di Amazon. Se il tuo AWS Managed Microsoft AD Il DNS contiene i record degli endpoint per AWS servizi (come gli endpoint Lambda VPC), il database può risolvere questi servizi in indirizzi IP nel VPC di Active Directory anziché nel VPC del database. Questa configurazione impedisce il successo delle connessioni dal tuo istanza DB a questi AWS servizi.
Nota
Questa limitazione si applica solo se hai AWS endpoint VPC di servizio configurati nel tuo AWS Managed Microsoft AD VPC.
