建立暫時性 IAM 憑證

建立具有呼叫 GetClusterCredentialsWithIAM 許可的 IAM 角色

1. 使用 IAM 服務建立使用者或角色。也可使用現有的使用者或角色，例如，如果已建立用於身分提供者存取的 IAM 角色，您可將必要的 IAM 政策連接至該角色。

2. 連接具有呼叫 redshift:GetClusterCredentialsWithIAM 操作許可的許可政策。下列政策範例顯示允許特定叢集和資料庫、叢集中的任何資料庫，以及任何叢集中的任何資料庫操作的選項。

   {
       "Version": "2012-10-17", 		 	 	 
       "Statement": [
           {
               "Sid": "SpecificClusterAndDBName",
               "Effect": "Allow",
               "Action": "redshift:GetClusterCredentialsWithIAM",
               "Resource": [
                   "arn:aws:redshift:us-east-1:123456789012:dbname:testcluster/testdatabase"
               ]
           },
           {
               "Sid": "SpecificClusterAndAnyDBName",
               "Effect": "Allow",
               "Action": "redshift:GetClusterCredentialsWithIAM",
               "Resource": "arn:aws:redshift:us-east-1:123456789012:dbname:examplecluster/*",
           },
           {
               "Sid": "AnyClusterAnyDatabase",
               "Effect": "Allow",
               "Action": "redshift:GetClusterCredentialsWithIAM",
               "Resource": "*"
           }
       ]
   }

建立具有呼叫 GetClusterCredentials 之許可的 IAM 角色

1. 使用 IAM 服務建立使用者或角色。也可使用現有的使用者或角色，例如，如果已建立用於身分提供者存取的 IAM 角色，您可將必要的 IAM 政策連接至該角色。

2. 連接具有呼叫 redshift:GetClusterCredentials 操作許可的許可政策。根據指定的選用參數而定，您也能在政策中允許或限制其他動作和資源：

   • 若要允許 SQL 用戶端擷取叢集 ID、AWS區域和連接埠，請包含使用 Redshift 叢集資源呼叫 redshift:DescribeClusters操作的許可。

   • 如果使用 AutoCreate 選項，請在 dbuser 資源中包含呼叫 redshift:CreateClusterUser 的許可。以下 Amazon Resource Name (ARN) 會指定 Amazon Redshift dbuser。cluster-name 將 account-id、 region和 取代為您的AWS區域、帳戶和叢集的值。針對 dbuser-name，指定用來登入叢集資料庫的使用者名稱。

     arn:aws:redshift:region:account-id:dbuser:cluster-name/dbuser-name
                             

   • (選用) 新增 ARN 以指定 Amazon Redshift dbname 資源，格式如下。cluster-name 將 account-id、 region和 取代為您的AWS區域、帳戶和叢集的值。針對 database-name，指定使用者將登入的資料庫名稱。

     arn:aws:redshift:region:account-id:dbname:cluster-name/database-name
                             

   • 如果您使用 DbGroups 選項，請包含對 Amazon Redshift dbgroup 資源呼叫 redshift:JoinGroup 操作的許可，格式如下。cluster-name 將 account-id、 region和 取代為您的AWS區域、帳戶和叢集的值。針對 dbgroup-name，指定使用者登入時要加入的使用者群組名稱。

     arn:aws:redshift:region:account-id:dbgroup:cluster-name/dbgroup-name

建立資料庫使用者和資料庫群組

1. 登入 Amazon Redshift 資料庫並使用 CREATE USER 建立資料庫使用者，或使用 ALTER USER 來變更現有的使用者。

2. 選擇性地指定 PASSWORD DISABLE 選項，防止使用者使用密碼。停用使用者密碼後，使用者只能使用暫時性憑證登入。如果未停用密碼，使用者可用其密碼或暫時性憑證登入。您無法停用超級使用者的密碼。

   如果使用者想要與 AWS外部互動，則需要程式設計存取AWS 管理主控台。授予程式設計存取權的方式取決於正在存取的使用者類型AWS。

   若要授予使用者程式設計存取權，請選擇下列其中一個選項。

   哪個使用者需要程式設計存取權？	到	根據
   IAM	（建議） 使用主控台登入資料做為臨時登入資料，以簽署對 AWS CLI、AWSSDKs程式設計請求。AWSAPIs	請依照您要使用的介面所提供的指示操作。 如需 AWS CLI，請參閱AWS Command Line Interface《 使用者指南》中的登入以進行AWS本機開發。 AWSSDKs，請參閱 AWSSDKs 和工具參考指南中的登入以進行AWS本機開發。
   人力資源身分 (IAM Identity Center 中管理的使用者)	使用暫時登入資料簽署對 AWS CLI、AWSSDKs程式設計請求。 AWSAPIs	請依照您要使用的介面所提供的指示操作。 如需 AWS CLI，請參閱AWS Command Line Interface《 使用者指南》中的設定AWS CLI要使用AWS IAM Identity Center的 。 AWSSDKs、工具和 AWSAPIs，請參閱 AWSSDK 和工具參考指南中的 SDKsIAM Identity Center 身分驗證。
   IAM	使用暫時登入資料簽署對 AWS CLI、AWSSDKs程式設計請求。 AWSAPIs	遵循《IAM 使用者指南》中將臨時登入資料與AWS資源搭配使用的指示。
   IAM	(不建議使用) 使用長期登入資料來簽署對 AWS CLI、AWSSDKs程式設計請求。AWSAPIs	請依照您要使用的介面所提供的指示操作。 如需 AWS CLI，請參閱AWS Command Line Interface《 使用者指南》中的使用 IAM 使用者憑證進行身分驗證。 AWSSDKs和工具，請參閱 AWSSDKs和工具參考指南中的使用長期憑證進行身分驗證。 對於 AWSAPIs，請參閱《IAM 使用者指南》中的管理 IAM 使用者的存取金鑰。

   以下範例會建立停用密碼的使用者。

   create user temp_creds_user password disable; 

   以下範例會停用現有使用者的密碼。

   alter user temp_creds_user password disable;

3. 使用 CREATE GROUP 建立資料庫使用者群組。

4. 使用 GRANT 命令定義群組的存取權限。

設定 JDBC 連線使用 IAM 登入資料

1. 從 設定適用於 Amazon Redshift 的 JDBC 驅動器 2.x 版的連線 頁面下載最新的 Amazon Redshift JDBC 驅動程式。

2. 使用下列其中一種格式的 IAM 登入資料選項建立 JDBC URL。若要使用 IAM 身分驗證，請將 iam: 新增至 Amazon Redshift JDBC URL 的 jdbc:redshift: 後方，如下列範例所示。

   jdbc:redshift:iam://

   新增 cluster-name、region 和 account-id。JDBC 驅動程式使用您的 IAM 帳戶資訊和叢集名稱來擷取叢集 ID 和AWS區域。若要這樣做，您的使用者或角色必須具備為指定叢集呼叫 redshift:DescribeClusters 操作的許可。如果您的使用者或角色沒有呼叫 redshift:DescribeClusters操作的許可，請包含叢集 ID、AWS區域和連接埠，如下列範例所示。連接埠號碼是選用的。

   jdbc:redshift:iam://examplecluster.abc123xyz789.us-west-2.redshift.amazonaws.com:5439/dev

3. 新增 JDBC 選項，以提供 IAM 登入資料。您可使用不同的 JDBC 選項組合來提供 IAM 登入資料。如需詳細資訊，請參閱用於建立資料庫使用者憑證的 JDBC 和 ODBC 選項。

   以下 URL 指定使用者的 AccessKeyID 和 SecretAccessKey。

   jdbc:redshift:iam://examplecluster:us-west-2/dev?AccessKeyID=AKIAIOSFODNN7EXAMPLE&SecretAccessKey=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

   以下範例指定包含 IAM 登入資料的命名設定檔。

   jdbc:redshift:iam://examplecluster:us-west-2/dev?Profile=user2

4. 新增 JDBC 驅動程式用來呼叫 GetClusterCredentials API 操作的 JDBC 選項。如果您用程式設計的方式呼叫 GetClusterCredentials API 操作，請勿加入這些選項。

   下列範例包含 JDBC GetClusterCredentials 選項。

   jdbc:redshift:iam://examplecluster:us-west-2/dev?plugin_name=com.amazon.redshift.plugin.AzureCredentialsProvider&UID=user&PWD=password&idp_tenant=my_tenant&client_secret=my_secret&client_id=my_id

設定 ODBC 連線使用 IAM 登入資料

在以下程序中，您只能尋找設定 IAM 身分驗證的步驟。如需使用標準身分驗證 (使用資料庫使用者名稱和密碼) 的步驟，請參閱 設定 Amazon Redshift ODBC 驅動程式 2.x 版連線。

1. 安裝並設定您的作業系統適用的 Amazon Redshift OBDC 驅動程式。如需詳細資訊，請參閱 設定 Amazon Redshift ODBC 驅動程式 2.x 版連線 頁面。

   重要

   Amazon Redshift ODBC 驅動程式必須為 1.3.6.1000 版或更新版本。

2. 依照您作業系統適用的步驟，設定連線設定。

3. 在 Microsoft Windows 作業系統中，存取 Amazon Redshift ODBC Driver DSN Setup 視窗。

   1. 在 Connection Settings (連線設定) 下，輸入下列資訊：

      • Data Source Name (資料來源名稱)

      • Server (伺服器) (選用)

      • Port (連接埠) (選用)

      • 資料庫

      如果您的使用者或角色具有呼叫 redshift:DescribeClusters 操作的許可，則只需要資料來源名稱和資料庫。Amazon Redshift 會使用 ClusterId 和區域，透過呼叫 DescribeCluster 操作來取得伺服器和連接埠。

      如果您的使用者或角色不具有呼叫 redshift:DescribeClusters 操作的許可，請指定伺服器和連接埠。

   2. 在 Authentication (身分驗證) 下方，選擇 Auth Type (驗證類型) 的值。

      針對每個驗證類型，輸入下列的值：

      AWS設定檔

      輸入下列資訊：

      • ClusterID (ClusterID)

      • 區域

      • Profile name (設定檔名稱)

        在包含 ODBC AWS連線選項值的組態檔案中，輸入設定檔的名稱。如需詳細資訊，請參閱使用組態設定檔。

      (選用) 提供 ODBC 驅動程式用來呼叫 GetClusterCredentials API 操作之選項的詳細資訊：

      • DbUser (DbUser)

      • User AutoCreate (使用者 AutoCreate)

      • DbGroups (DbGroups)

        如需詳細資訊，請參閱用於建立資料庫使用者憑證的 JDBC 和 ODBC 選項。

      IAM 登入資料

      輸入下列資訊：

      • ClusterID (ClusterID)

      • 區域

      • AccessKeyID (AccessKeyID) 和 SecretAccessKey (SecretAccessKey)

        IAM 資料庫身分驗證所設定之 IAM 角色或使用者的存取金鑰 ID 和私密存取金鑰。

      • SessionToken (SessionToken)

        SessionToken (SessionToken) 對於擁有暫時性登入資料的 IAM 角色來說為必填。如需詳細資訊，請參閱暫時性安全登入資料。

      提供 ODBC 驅動程式用來呼叫 GetClusterCredentials API 操作之選項的詳細資訊：

      • DbUser (DbUser) (必填)

      • User AutoCreate (使用者 AutoCreate) (選用)

      • DbGroups (DbGroups) (選用)

        如需詳細資訊，請參閱用於建立資料庫使用者憑證的 JDBC 和 ODBC 選項。

      身分提供者：AD FS

      針對使用 AD FS 的 Windows 整合式身分驗證，請讓 User (使用者) 和 Password (密碼) 保持空白。

      提供 IdP 詳細資訊：

      • IdP Host (IdP 主機)

        企業身分提供商主機的名稱。該名稱不得包含任何斜線 (/)。

      • IdP Port (IdP 連接埠) (選用)

        身分提供者使用的連接埠。預設為 443。

      • Preferred Role (偏好的角色)

        IAM 角色的 Amazon Resource Name (ARN)，來自 SAML 聲明中 Role 屬性的多值 AttributeValue 元素。若要尋找偏好角色適用的值，請洽詢 IdP 管理員。如需詳細資訊，請參閱步驟 2：設定 IdP 的 SAML 聲明。

      (選用) 提供 ODBC 驅動程式用來呼叫 GetClusterCredentials API 操作之選項的詳細資訊：

      • DbUser (DbUser)

      • User AutoCreate (使用者 AutoCreate)

      • DbGroups (DbGroups)

      如需詳細資訊，請參閱用於建立資料庫使用者憑證的 JDBC 和 ODBC 選項。

      身分提供者：PingFederate

      針對 User (使用者) 和 Password (密碼)，輸入 IdP 的使用者名稱和密碼。

      提供 IdP 詳細資訊：

      • IdP Host (IdP 主機)

        企業身分提供商主機的名稱。該名稱不得包含任何斜線 (/)。

      • IdP Port (IdP 連接埠) (選用)

        身分提供者使用的連接埠。預設為 443。

      • Preferred Role (偏好的角色)

        IAM 角色的 Amazon Resource Name (ARN)，來自 SAML 聲明中 Role 屬性的多值 AttributeValue 元素。若要尋找偏好角色適用的值，請洽詢 IdP 管理員。如需詳細資訊，請參閱步驟 2：設定 IdP 的 SAML 聲明。

      (選用) 提供 ODBC 驅動程式用來呼叫 GetClusterCredentials API 操作之選項的詳細資訊：

      • DbUser (DbUser)

      • User AutoCreate (使用者 AutoCreate)

      • DbGroups (DbGroups)

      如需詳細資訊，請參閱用於建立資料庫使用者憑證的 JDBC 和 ODBC 選項。

      身分提供者：Okta

      針對 User (使用者) 和 Password (密碼)，輸入 IdP 的使用者名稱和密碼。

      提供 IdP 詳細資訊：

      • IdP Host (IdP 主機)

        企業身分提供商主機的名稱。該名稱不得包含任何斜線 (/)。

      • IdP Port (IdP 連接埠)

        Okta 不會使用此值。

      • Preferred Role (偏好的角色)

        IAM 角色的 Amazon Resource Name (ARN)，來自 SAML 聲明中 Role 屬性的 AttributeValue 元素。若要尋找偏好角色適用的值，請洽詢 IdP 管理員。如需詳細資訊，請參閱步驟 2：設定 IdP 的 SAML 聲明。

      • Okta App ID (Okta 應用程式 ID)

        Okta 應用程式的 ID。Okta 應用程式嵌入連結中「amazon_aws」後方的 App ID 值。請洽詢 IdP 管理員，以取得此值。

      (選用) 提供 ODBC 驅動程式用來呼叫 GetClusterCredentials API 操作之選項的詳細資訊：

      • DbUser (DbUser)

      • User AutoCreate (使用者 AutoCreate)

      • DbGroups (DbGroups)

      如需詳細資訊，請參閱用於建立資料庫使用者憑證的 JDBC 和 ODBC 選項。

      身分提供者：Azure AD

      針對 User (使用者) 和 Password (密碼)，輸入 IdP 的使用者名稱和密碼。

      針對叢集 ID 和區域，輸入您的 Amazon Redshift 叢集的叢集 ID 和 AWS 區域。

      針對資料庫，輸入您為 Amazon Redshift 叢集建立的資料庫。

      提供 IdP 詳細資訊：

      • IdP Tenant (IdP 租用戶)

        用於 Azure AD 的租用戶。

      • Azure Client Secret (Azure 用戶端密碼)

        Azure 中 Amazon Redshift 企業應用程式的用戶端密碼。

      • Azure Client ID (Azure 用戶端 ID)

        Azure 中 Amazon Redshift 企業應用程式的用戶端 ID (應用程式 ID)。

      (選用) 提供 ODBC 驅動程式用來呼叫 GetClusterCredentials API 操作之選項的詳細資訊：

      • DbUser (DbUser)

      • User AutoCreate (使用者 AutoCreate)

      • DbGroups (DbGroups)

      如需詳細資訊，請參閱用於建立資料庫使用者憑證的 JDBC 和 ODBC 選項。