本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

為 PostgreSQL 資料庫叢集設定 Kerberos 身分驗證

您可以使用 AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) 來設定 PostgreSQL 資料庫叢集的 Kerberos 身分驗證。若要設定 Kerberos 身分驗證，請遵循下列步驟。

步驟 1：使用 建立目錄 AWS Managed Microsoft AD

AWS Directory Service 在 AWS 雲端中建立全受管 Active Directory。當您建立 AWS Managed Microsoft AD 目錄時， 會為您 AWS Directory Service 建立兩個網域控制站和 DNS 伺服器。目錄伺服器是在 VPC 的不同子網路中建立。此備援有助於確保即使發生故障，您仍然可以存取目錄。

當您建立 AWS Managed Microsoft AD 目錄時， AWS Directory Service 會代表您執行下列任務：

啟動時 AWS Directory Service for Microsoft Active Directory， 會 AWS 建立組織單位 (OU)，其中包含目錄的所有物件。此 OU 有您在建立目錄時所輸入的 NetBIOS 名稱，位於根網域中。網域根由 擁有和管理 AWS。

使用 AWS Managed Microsoft AD 目錄建立Admin的帳戶具有 OU 最常見管理活動的許可：

Admin 帳戶也有權執行下列全網域活動：

建立目錄需要幾分鐘的時間。成功建立時，Status (狀態) 值會變更為 Active (作用中)。

若要查看目錄的資訊，請選擇目錄清單中的目錄 ID。請記下 Directory ID (目錄 ID) 值，建立或修改 PostgreSQL 資料庫執行個體時需要此值。

步驟 2：(選用) 在您的內部部署 Active Directory 與 AWS Directory Service之間建立信任關係

如果您不打算使用自己的內部部署 Microsoft Active Directory，請跳至步驟 3：為 Amazon Aurora 建立 IAM 角色以存取 AWS Directory Service.

若要使用現場部署 Active Directory 取得 Kerberos 身分驗證，您需要使用現場部署 Microsoft Active Directory 與 AWS Managed Microsoft AD 目錄 （在 中建立） 之間的樹系信任來建立信任網域關係步驟 1：使用 建立目錄 AWS Managed Microsoft AD。信任可以是單向，其中 AWS Managed Microsoft AD 目錄信任內部部署 Microsoft Active Directory。信任也可以是雙向，其中兩個 Active Directory 互相信任。如需使用 設定信任的詳細資訊 AWS Directory Service，請參閱《 AWS Directory Service 管理指南》中的何時建立信任關係。

請確定您的內部部署 Microsoft Active Directory 網域名稱包含對應至新建立之信任關係的 DNS 尾碼路由。以下螢幕擷取畫面顯示了一個範例。

步驟 3：為 Amazon Aurora 建立 IAM 角色以存取 AWS Directory Service

若要讓 Amazon Aurora AWS Directory Service 為您呼叫 ， AWS 您的帳戶需要使用 受管 IAM 政策 的 IAM 角色AmazonRDSDirectoryServiceAccess。此角色允許 Amazon Aurora 呼叫 AWS Directory Service。（請注意，此存取 的 IAM 角色與用於 的 IAM 角色 AWS Directory Service 不同 IAM 資料庫身分驗證。)

當您使用 建立資料庫執行個體， AWS Management Console 且主控台使用者帳戶具有 iam:CreateRole許可時，主控台會自動建立所需的 IAM 角色。在此情況下，角色名稱為 rds-directoryservice-kerberos-access-role。否則，您必須手動建立 IAM 角色。當您建立此 IAM 角色時，請選擇 Directory Service，然後將 AWS 受管政策連接至AmazonRDSDirectoryServiceAccess該角色。

如需為服務建立 IAM 角色的詳細資訊，請參閱《IAM 使用者指南》中的建立角色以將許可委派給 AWS 服務。

作為使用 AmazonRDSDirectoryServiceAccess 受管政策的替代方案，您可以建立具有必要許可的政策。在此情況下，IAM 角色必須有以下 IAM 信任政策。

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

此角色也須具有下列 IAM 角色政策：

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

對於選擇加入 AWS 區域，請在 IAM 角色信任政策中使用區域特定的服務主體。當您為這些區域中的服務建立信任政策時，請在服務主體中指定區域代碼。

下列範例顯示包含區域特定服務主體的信任政策：

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.REGION-CODE.amazonaws.com",
          "rds.REGION-CODE.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

將 REGION-CODE 取代為特定區域的程式碼。例如，針對亞太區域 （墨爾本） 區域使用下列服務主體：

"Service": [
  "directoryservice.rds.ap-southeast-4.amazonaws.com",
  "rds.ap-southeast-4.amazonaws.com"
]

步驟 4：建立和設定使用者

您可以透過使用 Active Directory 使用者和運算集區來建立使用者。這是 Active Directory Domain Services 和 Active Directory 輕量型目錄服務工具之一。如需詳細資訊，請參閱 Microsoft 文件中的將使用者和電腦新增至 Active Directory 網域。在此情況下，使用者是個人或其他實體，例如其電腦屬於網域，而其身分在目錄中維護。

若要在 AWS Directory Service 目錄中建立使用者，您必須連線到做為 AWS Directory Service 目錄成員的 Windows 型 Amazon EC2 執行個體。同時，您必須以具有建立使用者之許可的使用者身分來登入。如需詳細資訊，請參閱《AWS Directory Service 管理指南》中的建立使用者。

步驟 5：啟用目錄和資料庫執行個體之間的跨 VPC 流量

如果您打算在相同 VPC 中尋找目錄和資料庫叢集，請略過本步驟，並移至 步驟 6：建立或修改 PostgreSQL 資料庫叢集。

如果您打算在不同 VPC 中尋找目錄和資料庫執行個體，請使用 VPC 互連或 AWS Transit Gateway 來設定跨 VPC 流量。

下列程序會使用 VPC 互連來啟用 VPC 之間的流量。請遵循《Amazon Virtual Private Cloud 互連指南》中什麼是 VPC 互連？的指示。

如果不同的 AWS 帳戶擁有該目錄，您必須共用該目錄。

步驟 6：建立或修改 PostgreSQL 資料庫叢集

建立或修改要搭配目錄使用的 PostgreSQL 資料庫叢集。您可以使用主控台、CLI 或 RDS API，將資料庫叢集與目錄建立關聯。您可採用下列其中一種方式來這麼做：

僅有 VPC 中的 PostgreSQL 資料庫叢集支援 Kerberos 身分驗證。資料庫叢集可在與目錄相同的 VPC 中，或在不同 VPC 中。資料庫叢集必須使用允許在目錄 VPC 內傳入和傳出的安全群組，如此資料庫叢集才能與目錄通訊。

步驟 7：針對您的 Kerberos 主體建立 PostgreSQL 使用者

此時，您的 Aurora PostgreSQL 資料庫叢集已加入 AWS Managed Microsoft AD 網域中。您在 步驟 4：建立和設定使用者 的目錄中建立的使用者必須設定為 PostgreSQL 資料庫使用者，並授予登入資料庫的權限。您可以透過以具有 rds_superuser 權限的資料庫使用者身分登入來執行此操作。例如，如果您在建立 Aurora PostgreSQL 資料庫叢集時接受預設值，請使用 postgres，如下列步驟中所示。

在您完成了針對 Active Directory 使用者身分建立所有 PostgreSQL 使用者之後，使用者就可以使用其 Kerberos 憑證存取 Aurora PostgreSQL 資料庫叢集。

使用 Kerberos 驗證的資料庫使用者必須從屬於 Active Directory 網域的用戶端機器執行此操作。

已獲授予 rds_ad 角色的資料庫使用者也無法具有 rds_iam 角色。這也適用於巢狀成員資格。如需詳細資訊，請參閱 IAM 資料庫身分驗證。

針對不區分大小寫的使用者名稱設定 Aurora PostgreSQL 資料庫叢集

Aurora PostgreSQL 14.5、13.8、12.12 和 11.17 版支援 krb_caseins_users PostgreSQL 參數。此參數支援不區分大小寫的 Active Directory 使用者名稱。根據預設，此參數會設為 false，因此 Aurora PostgreSQL 會以區分大小寫的方式解譯使用者名稱。這是 Aurora PostgreSQL 所有舊版本中的預設行為。不過，您可以在自訂資料庫叢集參數群組中將此參數設為 true，並允許 Aurora PostgreSQL 資料庫叢集參數群組以區分大小寫的方式解譯使用者名稱。考慮這樣做是為了方便您的資料庫使用者，他們有時可能會在使用 Active Directory 進行驗證時打錯其使用者名稱的大小寫。

若要變更 krb_caseins_users 參數，您的 Aurora PostgreSQL 資料庫叢集必須正在使用自訂資料庫叢集參數群組。如需使用自訂資料庫叢集參數群組的相關資訊，請參閱 Amazon Aurora 的參數群組。

您可以使用 AWS CLI 或 AWS Management Console 來變更設定。如需詳細資訊，請參閱在 Amazon Aurora 中修改資料庫叢集參數群組中的參數。

步驟 8：設定 PostgreSQL 用戶端

若要設定 PostgreSQL 用戶端，請執行下列步驟：

以下是 的範例 krb5 AWS Managed Microsoft AD.conf 內容。

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

下列是內部部署 Microsoft Active Directory 的範例 krb5.conf 內容。

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
 ONPREM.COM = {
  kdc = onprem.com
  admin_server = onprem.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM
 .onprem.com = ONPREM.COM
 onprem.com = ONPREM.COM  
 .rds.amazonaws.com = EXAMPLE.COM
 .amazonaws.com.rproxy.govskope.ca.cn = EXAMPLE.COM
 .amazon.com = EXAMPLE.COM