本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 AD 安全群組進行 Aurora PostgreSQL 存取控制

從 Aurora PostgreSQL 14.10 和 15.5 版本，可以使用 AWS Directory Service for Microsoft Active Directory (AD) 安全群組來管理 Aurora PostgreSQL 存取控制。舊版 Aurora PostgreSQL 僅支援個別使用者使用 AD 的 Kerberos 型身分驗證。每個 AD 使用者都必須明確佈建至資料庫叢集才能存取。

您可以利用 AD 安全群組，如下所示，而不是根據業務需求將每個 AD 使用者明確佈建至資料庫叢集：

先決條件

在設定 AD 安全群組的延伸之前，請確定您有下列項目：

設定 pg_ad_mapping 延伸模組

Aurora PostgreSQL 現在提供 pg_ad_mapping 延伸模組來管理 Aurora PostgreSQL 叢集中 AD 安全群組和資料庫角色之間的對應。如需 pg_ad_mapping 所提供函數的詳細資訊，請參閱 使用 pg_ad_mapping 延伸模組中的函數。

若要在 Aurora PostgreSQL 資料庫叢集上設定 pg_ad_mapping 延伸模組，您會先針對 Aurora PostgreSQL 資料庫叢集，將 pg_ad_mapping 新增至自訂資料庫叢集參數群組上的共用程式庫。如需建立自訂資料庫叢集參數群組的相關資訊，請參閱 Amazon Aurora 的參數群組。接下來，您會安裝 pg_ad_mapping 延伸模組。本節中的程序展示做法。您可以使用 AWS 管理主控台 或 AWS CLI。

您必須具有做為 rds_superuser 角色的許可，才能執行所有這些任務。

下列步驟假設您的 Aurora PostgreSQL 資料庫叢集與自訂資料庫叢集參數群組相關聯。

在 PowerShell 中擷取 Active Directory 群組 SID

安全識別符 (SID) 用於唯一識別安全主體或安全群組。每當在 Active Directory 中建立安全群組或帳戶時，就會指派 SID 給它。若要從作用中目錄擷取 AD 安全群組 SID，您可以從加入該 Active Directory 網域的 Windows 用戶端機器使用 Get-ADGroup cmdlet。身分參數會指定 Active Directory 群組名稱，以取得對應的 SID。

下列範例會傳回 AD 群組 adgroup1 的 SID。

C:\Users\Admin> Get-ADGroup -Identity adgroup1 | select SID
            
             SID
-----------------------------------------------
S-1-5-21-3168537779-1985441202-1799118680-1612
            
        

使用 AD 安全群組對應資料庫角色

您需要將資料庫中的 AD 安全群組明確佈建為 PostgreSQL 資料庫角色。屬於至少一個已佈建 AD 安全群組的 AD 使用者將可存取資料庫。您不應授予 rds_ad role AD 群組安全型資料庫角色。安全群組的 Kerberos 身分驗證將使用網域名稱尾碼觸發，例如 user1@example.com。此資料庫角色無法使用密碼或 IAM 身分驗證來存取資料庫。

例如，accounts-group 是 AD 中的安全群組，您想要在 Aurora PostgreSQL 中將此安全群組佈建為 accounts-role。

對應資料庫角色與 AD 安全群組時，您必須確保資料庫角色已設定 LOGIN 屬性，且具有所需登入資料庫的 CONNECT 權限。

postgres => alter role accounts-role login;
        
ALTER ROLE
postgres => grant connect on database accounts-db to accounts-role;

管理員現在可以繼續在 AD 安全群組和 PostgreSQL 資料庫角色之間建立對應。

admin=>select pgadmap_set_mapping('accounts-group', 'accounts-role', <SID>, <Weight>);

如需擷取 AD 安全群組 SID 的資訊，請參閱 在 PowerShell 中擷取 Active Directory 群組 SID。

在某些情況下，AD 使用者可能屬於多個群組，在這種情況下，AD 使用者會繼承以最高權重佈建的資料庫角色權限。如果這兩個角色具有相同的權重，AD 使用者將繼承對應於最近所新增對應的資料庫角色權限。建議是指定反映個別資料庫角色相對許可/權限的權重。資料庫角色的許可或權限越高，應該與對應項目相關聯的權重就越高。這將避免兩個具有相同權重的對應模棱兩可。

下表顯示從 AD 安全群組到 Aurora PostgreSQL 資料庫角色的範例對應。

在下列範例中，user1 會繼承 sales-role 的權限，因為它具有較高的權重，而 user2 會繼承 dev-role 的權限，因為此角色的對應是在 accounts-role 之後建立的，其權重與 accounts-role 相同。

用於建立、列出和清除對應的 psql 命令，如下所示。目前，無法修改單一對應項目。需要刪除現有項目，並重新建立對應。

admin=>select pgadmap_set_mapping('accounts-group', 'accounts-role', 'S-1-5-67-890', 7);
admin=>select pgadmap_set_mapping('sales-group', 'sales-role', 'S-1-2-34-560', 10);
admin=>select pgadmap_set_mapping('dev-group', 'dev-role', 'S-1-8-43-612', 7);
            
admin=>select * from pgadmap_read_mapping();
            
ad_sid       | pg_role        | weight | ad_grp 
-------------+----------------+--------+---------------
S-1-5-67-890 | accounts-role | 7      | accounts-group
S-1-2-34-560 | sales-role    | 10     | sales-group
S-1-8-43-612 | dev-role      | 7      | dev-group
(3 rows)                
            
        

AD 使用者身分記錄/稽核

使用下列命令來判斷目前或工作階段使用者繼承的資料庫角色：

postgres=>select session_user, current_user;
            
session_user | current_user
-------------+--------------
dev-role     | dev-role

(1 row)
        

若要判斷 AD 安全主體身分，請使用下列命令：

postgres=>select principal from pg_stat_gssapi where pid = pg_backend_pid();
            
 principal        
-------------------------
 user1@example.com

(1 row)
        

目前，AD 使用者身分不會顯示在稽核日誌中。您可以啟用 log_connections 參數來記錄資料庫工作階段的建立。如需詳細資訊，請參閱 log_connections。此輸出包含 AD 使用者身分，如下所示。與此輸出相關聯的後端 PID 可以協助將動作追溯至實際 AD 使用者。

pgrole1@postgres:[615]:LOG: connection authorized: user=pgrole1 database=postgres application_name=psql GSS (authenticated=yes, encrypted=yes, principal=Admin@EXAMPLE.COM)

限制

使用 pg_ad_mapping 延伸模組中的函數

提供的 pg_ad_mapping 延伸模組支援下列函數：

pgadmap_set_mapping

此函數會建立 AD 安全群組與具有相關聯權重的資料庫角色之間的對應。

語法

pgadmap_set_mapping(
ad_group, 
db_role, 
ad_group_sid, 
weight)

引數

傳回類型

None

使用須知

此函數會將 AD 安全群組的新對應新增至資料庫角色。它只能由具有 rds_superuser 權限的使用者在資料庫叢集的主要資料庫執行個體上執行。

範例

postgres=> select pgadmap_set_mapping('accounts-group','accounts-role','S-1-2-33-12345-67890-12345-678',10);
            
pgadmap_set_mapping 

(1 row)

pgadmap_read_mapping

此函數會列出 AD 安全群組與使用 pgadmap_set_mapping 函數所設定資料庫角色之間的對應。

語法

pgadmap_read_mapping()

引數

None

傳回類型

使用須知

呼叫此函數，列出 AD 安全群組和資料庫角色之間的所有可用對應。

範例

postgres=> select * from pgadmap_read_mapping();
            
ad_sid                              | pg_role       | weight | ad_grp 
------------------------------------+---------------+--------+------------------
S-1-2-33-12345-67890-12345-678      | accounts-role | 10     | accounts-group
(1 row)

(1 row)

pgadmap_reset_mapping

此函數會重設使用 pgadmap_set_mapping 函數設定的一或多個對應。

語法

pgadmap_reset_mapping(
ad_group_sid, 
db_role, 
weight)

引數

如果未提供引數，則會重設資料庫角色對應的所有 AD 群組。需要提供或不提供所有引數。

傳回類型

None

使用須知

呼叫此函數來刪除資料庫角色對應的特定 AD 群組，或重設所有對應。此函數只能由具有 rds_superuser 權限的使用者在資料庫叢集的主要資料庫執行個體上執行。

範例

postgres=> select * from pgadmap_read_mapping();
            
   ad_sid                       | pg_role      | weight      | ad_grp 
--------------------------------+--------------+-------------+-------------------
 S-1-2-33-12345-67890-12345-678 | accounts-role| 10          | accounts-group
 S-1-2-33-12345-67890-12345-666 | sales-role   | 10          | sales-group
 
(2 rows)
postgres=> select pgadmap_reset_mapping('S-1-2-33-12345-67890-12345-678', 'accounts-role', 10);
                
pgadmap_reset_mapping   
(1 row)
                
postgres=> select * from pgadmap_read_mapping();
            
   ad_sid                       | pg_role      | weight      | ad_grp 
--------------------------------+--------------+-------------+---------------
 S-1-2-33-12345-67890-12345-666 | sales-role   | 10          | sales-group
 
(1 row)
postgres=> select pgadmap_reset_mapping();

pgadmap_reset_mapping   
(1 row)
                
postgres=> select * from pgadmap_read_mapping();
            
   ad_sid                       | pg_role      | weight      | ad_grp 
--------------------------------+--------------+-------------+--------------
 (0 rows)