本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定 Amazon RDS for Db2 資料庫執行個體的Kerberos身分驗證

您可以使用 AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) 來設定 RDS for Db2 資料庫執行個體的Kerberos身分驗證。若要設定Kerberos身分驗證，請依照下列步驟進行：

步驟 1：使用 建立目錄 AWS Managed Microsoft AD

AWS Directory Service 在 Active Directory中建立完全受管的 AWS 雲端。當您建立 AWS Managed Microsoft AD 目錄時， 會為您 AWS Directory Service 建立兩個網域控制站和 DNS 伺服器。目錄伺服器是在 VPC 的不同子網路中建立。此備援可協助確保即使失敗，仍能存取您的目錄。

當您建立 AWS Managed Microsoft AD 目錄時， 會代表您 AWS Directory Service 執行下列任務：

啟動時 AWS Directory Service for Microsoft Active Directory， AWS 會建立組織單位 (OU)，其中包含目錄的所有物件。此 OU 有您在建立目錄時所輸入的 NetBIOS 名稱，位於根網域中。網域根由 擁有和管理 AWS。

使用 AWS Managed Microsoft AD 目錄建立Admin的帳戶具有 OU 最常見管理活動的許可：

Admin 帳戶也有權執行下列全網域活動：

建立目錄需要幾分鐘的時間。成功建立時，Status (狀態) 值會變更為 Active (作用中)。

若要查看目錄的相關資訊，請選擇目錄 ID 下的目錄 ID。請記下 Directory ID (目錄 ID) 值，建立或修改 RDS for Db2 資料庫執行個體時，您需要此值。

步驟 2：為 Amazon RDS 建立存取的 IAM 角色 AWS Directory Service

若要讓 Amazon RDS AWS Directory Service 為您呼叫 ，您需要 AWS 帳戶 使用 受管 IAM 政策 的 IAM 角色AmazonRDSDirectoryServiceAccess。此角色允許 Amazon RDS 呼叫 AWS Directory Service。

當您使用 建立資料庫執行個體， AWS Management Console 且主控台使用者帳戶具有 iam:CreateRole許可時，主控台會自動建立所需的 IAM 角色。在此情況下，角色名稱為 rds-directoryservice-kerberos-access-role。否則，您必須手動建立 IAM 角色。當您建立此 IAM 角色時，請選擇 Directory Service，然後將 AWS 受管政策連接到AmazonRDSDirectoryServiceAccess該角色。

如需為服務建立 IAM 角色的詳細資訊，請參閱《IAM 使用者指南》中的建立角色以將許可委派給 AWS 服務。

作為使用 AmazonRDSDirectoryServiceAccess 受管政策的替代方案，您可以建立具有必要許可的政策。在此情況下，IAM 角色必須具有下列 IAM 信任政策：

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

此角色也必須具有下列 IAM 角色政策：

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

步驟 3：建立和設定使用者

您可以使用 Active Directory Users and Computers工具來建立使用者。這是 Active Directory Domain Services和 Active Directory Lightweight Directory Services工具之一。如需詳細資訊，請參閱 Microsoft 文件中的將使用者和電腦新增至Active Directory網域。在此情況下，使用者是屬於網域且其身分正在 目錄中維護的個人或其他實體，例如其電腦。

若要在 AWS Directory Service 目錄中建立使用者，您必須連線到以 Windows為基礎的 Amazon EC2 執行個體，該執行個體是 AWS Directory Service 目錄的成員。同時，您必須以具有建立使用者權限的使用者身分登入。如需詳細資訊，請參閱《AWS Directory Service 管理指南》中的建立使用者。

步驟 4：在 中建立 Db2 管理員群組的 RDS AWS Managed Microsoft AD

RDS for Db2 不支援主要使用者或兩個 Amazon RDS 預留使用者 rdsdb和 的Kerberos身分驗證rdsadmin。相反地，您需要建立一個名為 masterdba 的新群組 AWS Managed Microsoft AD。如需詳細資訊，請參閱 Microsoft 文件中的在 中建立群組帳戶Active Directory。您新增至此群組的任何使用者都將具有主要使用者權限。

啟用Kerberos身分驗證後，主要使用者會失去該masterdba角色。因此，除非您停用Kerberos身分驗證，否則主要使用者將無法存取執行個體本機使用者群組成員資格。若要繼續使用具有密碼登入的主要使用者，請在 上建立 AWS Managed Microsoft AD 與主要使用者同名的使用者。然後，將該使用者新增至群組 masterdba。

步驟 5：建立或修改 RDS for Db2 資料庫執行個體

建立或修改 RDS for Db2 資料庫執行個體，以搭配您的目錄使用。您可以使用 AWS Management Console、 AWS CLI或 RDS API，將資料庫執行個體與目錄建立關聯。您可採用下列其中一種方式來這麼做：

Kerberos 驗證僅支援 VPC 中 Db2 資料庫執行個體的 RDS。資料庫執行個體可在與目錄相同的 VPC 中，或在不同 VPC 中。資料庫執行個體必須使用允許目錄 VPC 內輸入和輸出的安全群組，以便資料庫執行個體可以與目錄通訊。

步驟 6：設定 Db2 用戶端

下列範例是 的 /etc/krb5.conf 檔案內容 AWS Managed Microsoft AD：

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM