本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定 Kerberos Amazon RDS for Db2 資料庫執行個體的身分驗證

您可以使用 AWS Directory Service for Microsoft Active Directory （AWS Managed Microsoft AD） 來設定 Kerberos 適用於 Db2 資料庫執行個體RDS的 身分驗證。設定 Kerberos 身分驗證，請遵循下列步驟：

步驟 1：使用 建立目錄 AWS Managed Microsoft AD

AWS Directory Service 會建立完全受管 Active Directory 在 中 AWS 雲端。當您建立 AWS Managed Microsoft AD 目錄時， 會為您 AWS Directory Service 建立兩個網域控制站和DNS伺服器。目錄伺服器是在 中的不同子網路中建立VPC。此備援可協助確保即使失敗，仍能存取您的目錄。

當您建立 AWS Managed Microsoft AD 目錄時， 會代表您 AWS Directory Service 執行下列任務：

當您啟動 時 AWS Directory Service for Microsoft Active Directory， 會 AWS 建立組織單位 （OU），其中包含目錄的所有物件。此 OU 具有您在建立目錄時輸入的 NetBIOS 名稱，位於網域根中。網域根由 擁有和管理 AWS。

使用 AWS Managed Microsoft AD 目錄建立Admin的帳戶具有 OU 最常見管理活動的許可：

Admin 帳戶也有權執行下列全網域活動：

建立目錄需要幾分鐘的時間。成功建立時，Status (狀態) 值會變更為 Active (作用中)。

若要查看目錄的相關資訊，請在目錄 ID 下選擇目錄 ID。請記下 Directory ID (目錄 ID) 值，當您建立或修改RDS適用於 Db2 資料庫執行個體的 時，您需要此值。

步驟 2：為 Amazon 建立IAM角色RDS以存取 AWS Directory Service

若要RDS讓 Amazon AWS Directory Service 為您呼叫 ，您需要使用 受管IAM政策 AWS 帳戶 IAM的角色AmazonRDSDirectoryServiceAccess。此角色允許 Amazon RDS呼叫 AWS Directory Service。

當您使用 建立資料庫執行個體， AWS Management Console 且主控台使用者帳戶具有 iam:CreateRole許可時，主控台會自動建立所需的IAM角色。在此情況下，角色名稱為 rds-directoryservice-kerberos-access-role。否則，您必須手動建立IAM角色。當您建立此IAM角色時，請選擇 Directory Service，並將 AWS 受管政策連接至AmazonRDSDirectoryServiceAccess該角色。

如需為 服務建立IAM角色的詳細資訊，請參閱 IAM 使用者指南 中的建立角色以將許可委派給 AWS 服務。

作為使用 AmazonRDSDirectoryServiceAccess 受管政策的替代方案，您可以建立具有必要許可的政策。在此情況下，IAM角色必須具有下列IAM信任政策：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

角色也必須具有下列IAM角色政策：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

步驟 3：建立和設定使用者

您可以使用 建立使用者 Active Directory Users and Computers 工具。這是 Active Directory Domain Services 以及 Active Directory Lightweight Directory Services 工具。如需詳細資訊，請參閱將使用者和電腦新增至 Active Directory 中的網域 Microsoft 文件中)。在這種情況下，使用者是屬於網域且其身分在目錄中維護的個人或其他實體，例如其電腦。

若要在 AWS Directory Service 目錄中建立使用者，您必須連線至 Windows為 AWS Directory Service 目錄成員的 Amazon EC2執行個體。同時，您必須以具有建立使用者權限的使用者身分登入。如需詳細資訊，請參閱《AWS Directory Service 管理指南》中的建立使用者。

步驟 4：在 中建立 Db2 管理員群組RDS的 AWS Managed Microsoft AD

RDS for Db2 不支援 Kerberos 主要使用者或兩個 Amazon RDS預留使用者 rdsdb和 的身分驗證rdsadmin。相反地，您需要建立masterdba名為 的新群組 AWS Managed Microsoft AD。如需詳細資訊，請參閱在 中建立群組帳戶 Active Directory 在 中 Microsoft 文件中)。您新增至此群組的任何使用者都會擁有主要使用者權限。

在您啟用 之後 Kerberos 身分驗證，主要使用者會失去masterdba角色。因此，除非您停用，否則主要使用者將無法存取執行個體本機使用者群組成員資格 Kerberos 身分驗證。若要繼續搭配密碼登入使用主要使用者，請在 AWS Managed Microsoft AD 上建立名稱與主要使用者相同的使用者。然後，將該使用者新增至群組 masterdba。

步驟 5：建立或修改RDS適用於 Db2 資料庫執行個體的

建立或修改 RDS for Db2 資料庫執行個體，以搭配您的目錄使用。您可以使用 AWS Management Console、 AWS CLI或 RDSAPI將資料庫執行個體與目錄建立關聯。您可採用下列其中一種方式來這麼做：

Kerberos 僅支援 中 RDS Db2 資料庫執行個體的身分驗證VPC。資料庫執行個體可與目錄VPC位於相同 ，或位於不同的 。 VPC資料庫執行個體必須使用允許目錄 內輸入和輸出的安全群組，VPC以便資料庫執行個體可以與目錄通訊。

步驟 6：設定 Db2 用戶端

下列範例是 的 /etc/krb5.conf 檔案內容 AWS Managed Microsoft AD：

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM