Die Verwendung von Kerberos Authentifizierung für Amazon RDS für Microsoft SQL Server

Sie können die Kerberos-Authentifizierung verwenden, um Benutzer zu authentifizieren, wenn sie sich mit Ihrer My DB-Instance verbinden. SQL Die DB-Instance verwendet AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD), um die Kerberos-Authentifizierung zu aktivieren. Wenn sich Benutzer mit einer My SQL DB-Instance authentifizieren, die der vertrauenden Domäne beigetreten ist, werden Authentifizierungsanfragen weitergeleitet. Weitergeleitete Anfragen werden in das Domänenverzeichnis verschoben, mit dem Sie sie erstellen. AWS Directory Service

Wenn Sie alle Ihre Anmeldeinformationen im selben Verzeichnis aufbewahren, können Sie Zeit und Mühe sparen. Mit diesem Ansatz haben Sie einen zentralen Ort für die Speicherung und Verwaltung von Anmeldedaten für mehrere DB-Instances. Die Verwendung eines Verzeichnisses kann auch Ihr allgemeines Sicherheitsprofil verbessern.

Verfügbarkeit von Regionen und Versionen

Die Verfügbarkeit von Funktionen und der Support variieren zwischen bestimmten Versionen der einzelnen Datenbank-Engines und in allen AWS-Regionen. Weitere Informationen zur Version und regionalen Verfügbarkeit von Amazon RDS mit Kerberos-Authentifizierung finden Sie unter. Unterstützte Regionen und DB-Engines für die Kerberos-Authentifizierung in Amazon RDS

Überblick über die Einrichtung der Kerberos-Authentifizierung für My DB-Instances SQL

Um die Kerberos-Authentifizierung für eine My SQL DB-Instance einzurichten, führen Sie die folgenden allgemeinen Schritte aus, die später ausführlicher beschrieben werden:

Kerberos-Authentifizierung für My DB-Instances einrichten SQL

Sie verwenden AWS Managed Microsoft AD , um die Kerberos-Authentifizierung für eine My DB-Instance einzurichten. SQL Um die Kerberos-Authentifizierung einzurichten, führen Sie die folgenden Schritte durch.

Schritt 1: Erstellen Sie ein Verzeichnis mit AWS Managed Microsoft AD

AWS Directory Service erstellt ein vollständig verwaltetes Active Directory in der AWS Cloud. Wenn Sie ein AWS Managed Microsoft AD Verzeichnis erstellen, AWS Directory Service erstellt in Ihrem Namen zwei Domänencontroller und Domain Name System (DNS) -Server. Die Verzeichnisserver werden in verschiedenen Subnetzen in einem VPC erstellt. Diese Redundanz trägt dazu bei, dass Ihr Verzeichnis auch im Fehlerfall erreichbar bleibt.

Wenn Sie ein AWS Managed Microsoft AD Verzeichnis erstellen, AWS Directory Service führt er in Ihrem Namen die folgenden Aufgaben aus:

Wenn Sie eine starten AWS Managed Microsoft AD, AWS erstellt eine Organisationseinheit (OU), die alle Objekte Ihres Verzeichnisses enthält. Diese Organisationseinheit hat den BIOS Netznamen, den Sie bei der Erstellung Ihres Verzeichnisses eingegeben haben, und befindet sich im Domänenstamm. Der Domänenstamm gehört und wird von AWS diesem verwaltet.

Das Administratorkonto, das mit Ihrem AWS Managed Microsoft AD Verzeichnis erstellt wurde, verfügt über Berechtigungen für die gängigsten Verwaltungsaktivitäten Ihrer Organisationseinheit:

Das Admin-Konto hat außerdem die Rechte zur Durchführung der folgenden domänenweiten Aktivitäten:

Es dauert einige Minuten, bis das Verzeichnis erstellt wurde. Wenn es erfolgreich erstellt wurde, ändert sich der Wert Status in Active (Aktiv).

Um Informationen über Ihr Verzeichnis anzuzeigen, wählen Sie den Verzeichnisnamen in der Verzeichnisliste aus. Notieren Sie sich den Wert für die Verzeichnis-ID, da Sie diesen Wert benötigen, wenn Sie Ihre My SQL DB-Instance erstellen oder ändern.

Schritt 2: Erstellen Sie die IAM Rolle für die Verwendung durch Amazon RDS

Damit Amazon RDS Sie anrufen AWS Directory Service kann, AmazonRDSDirectoryServiceAccess ist eine IAM Rolle erforderlich, die die verwaltete IAM Richtlinie verwendet. Diese Rolle ermöglicht es AmazonRDS, Anrufe an die zu tätigen AWS Directory Service.

Wenn eine DB-Instance mit dem erstellt wird AWS Management Console und der Konsolenbenutzer über die iam:CreateRole entsprechende Berechtigung verfügt, erstellt die Konsole diese Rolle automatisch. In diesem Fall lautet der Rollenname rds-directoryservice-kerberos-access-role. Andernfalls müssen Sie die IAM Rolle manuell erstellen. Wenn Sie diese IAM Rolle erstellenDirectory Service, wählen Sie die AWS verwaltete Richtlinie aus und fügen Sie sie ihr AmazonRDSDirectoryServiceAccess hinzu.

Weitere Informationen zum Erstellen von IAM Rollen für einen Dienst finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen für einen AWS Dienst im IAMBenutzerhandbuch.

Optional können Sie Richtlinien mit den erforderlichen Berechtigungen erstellen, anstatt die verwaltete IAM Richtlinie zu verwendenAmazonRDSDirectoryServiceAccess. In diesem Fall muss die IAM Rolle über die folgende IAM Vertrauensrichtlinie verfügen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Die Rolle muss außerdem die folgende IAM Rollenrichtlinie haben.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Schritt 3: Anlegen und konfigurieren von Benutzern

Sie können Benutzer mit dem Tool "Active Directory-Benutzer und -Computer" erstellen. Dieses Tool ist Teil der Tools Active Directory Domain Services und Active Directory Lightweight Directory Services. „Benutzer“ sind Einzelpersonen oder Entitäten, die Zugriff auf Ihr Verzeichnis haben.

Um Benutzer in einem AWS Directory Service Verzeichnis zu erstellen, müssen Sie mit einer EC2 Amazon-Instance verbunden sein, die auf Microsoft Windows basiert. Diese Instance muss Mitglied des AWS Directory Service Verzeichnisses sein und als Benutzer angemeldet sein, der über die Rechte zum Erstellen von Benutzern verfügt. Weitere Informationen finden Sie unter Verwalten von Benutzern und Gruppen AWS Managed Microsoft AD im AWS Directory-Service-Administrationshandbuch.

Schritt 4: Erstellen oder ändern Sie eine My SQL DB-Instance

Erstellen oder ändern Sie eine My SQL DB-Instance zur Verwendung mit Ihrem Verzeichnis. Sie können die Konsole oder verwendenCLI, RDS API um eine DB-Instance einem Verzeichnis zuzuordnen. Sie können dafür eine der folgenden Möglichkeiten auswählen:

Die Kerberos-Authentifizierung wird nur für My SQL DB-Instances in a unterstützt. VPC Die DB-Instance kann sich im selben Verzeichnis VPC wie das Verzeichnis oder in einem anderen befinden. VPC Die DB-Instance muss eine Sicherheitsgruppe verwenden, die den Ausgang innerhalb der Verzeichnisse ermöglicht, VPC damit die DB-Instance mit dem Verzeichnis kommunizieren kann.

Wenn Sie die Konsole verwenden, ändern oder wiederherstellen, um eine DB-Instance zu erstellen, wählen Sie im Abschnitt Datenbankauthentifizierung die Option Passwort- und Kerberos-Authentifizierung aus. Wählen Sie Verzeichnis durchsuchen und dann das Verzeichnis aus, oder klicken Sie auf Neues Verzeichnis erstellen.

Wenn Sie das AWS CLI oder verwenden RDSAPI, ordnen Sie eine DB-Instance einem Verzeichnis zu. Die folgenden Parameter sind erforderlich, damit die DB-Instance das von Ihnen erstellte Domain-Verzeichnis verwendet:

Mit dem folgenden CLI Befehl wird beispielsweise eine DB-Instance so geändert, dass sie ein Verzeichnis verwendet.

Wählen Sie in der &Snowconsole; Ihren Auftrag aus der Tabelle. Linux, macOS, oder Unix:

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --domain d-ID \
    --domain-iam-role-name role-name
            

Wählen Sie in der &Snowconsole; Ihren Auftrag aus der Tabelle. Windows:

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --domain d-ID ^
    --domain-iam-role-name role-name 
            

Schritt 5: Kerberos-Authentifizierung erstellen Meine Logins SQL

Verwenden Sie die Anmeldedaten des RDS Amazon-Master-Benutzers, um wie bei jeder anderen SQL DB-Instance eine Verbindung zur My DB-Instance herzustellen. Die DB-Instance ist mit der AWS Managed Microsoft AD Domain verbunden. Somit können Sie Meine SQL Logins und Benutzer von den Active Directory-Benutzern in Ihrer Domäne bereitstellen. Datenbankberechtigungen werden über die SQL Standardberechtigungen „Meine“ verwaltet, die diesen Anmeldungen erteilt oder entzogen werden.

Sie können einem Active Directory-Benutzer erlauben, sich bei My zu authentifizieren. SQL Verwenden Sie dazu zunächst die RDS Masterbenutzeranmeldedaten von Amazon, um sich wie bei jeder anderen SQL DB-Instance mit der My DB-Instance zu verbinden. Nachdem Sie angemeldet sind, erstellen Sie einen extern authentifizierten Benutzer mit PAM (Pluggable Authentication Modules) in My, SQL indem Sie den folgenden Befehl ausführen. Ersetzen Sie testuser durch den Benutzernamen.

CREATE USER 'testuser'@'%' IDENTIFIED WITH 'auth_pam';

Benutzer (sowohl Menschen als auch Anwendungen) aus Ihrer Domäne können sich nun von einem mit der Domäne verbundenen Client-Rechner aus mit Hilfe der Kerberos-Authentifizierung mit der DB-Instance verbinden.

ALTER USER 'testuser'@'%' REQUIRE SSL;

Verwalten einer DB-Instance in einer Domäne

Sie können das CLI oder das verwenden RDSAPI, um Ihre DB-Instance und ihre Beziehung zu Ihrem verwalteten Active Directory zu verwalten. Sie können z. B. ein Active Directory für die Kerberos-Authentifizierung zuordnen und ein Active Directory trennen, um die Kerberos-Authentifizierung zu deaktivieren. Sie können auch eine DB-Instance, die extern von einem Active Directory authentifiziert werden soll, in ein anderes Active Directory verschieben.

Mit Amazon können Sie RDS API beispielsweise Folgendes tun:

Grundlegendes zur Domänenmitgliedschaft

Nachdem Sie Ihre DB-Instance erstellt oder geändert haben, wird sie Mitglied der Domäne. Sie können den Status der Domänenmitgliedschaft für die DB-Instance anzeigen, indem describe-db-instancesCLISie den Befehl ausführen. Der Status der DB-Instance kann einer der folgenden sein:

Eine Anfrage zur Aktivierung der Kerberos-Authentifizierung kann aufgrund eines Problems mit der Netzwerkverbindung oder einer falschen Rolle fehlschlagen. IAM Angenommen, Sie erstellen eine DB-Instance oder ändern eine vorhandene DB-Instance und der Versuch, die Kerberos-Authentifizierung zu aktivieren, schlägt fehl. Wenn dies geschieht, führen Sie den Ändern-Befehl erneut aus oder ändern Sie die neu erstellte DB-Instance, um der Domäne beizutreten.

Mit Kerberos-Authentifizierung eine Verbindung zu My SQL herstellen

Um SQL mit Kerberos-Authentifizierung eine Verbindung zu My herzustellen, müssen Sie sich mit dem Kerberos-Authentifizierungstyp anmelden.

Um einen Datenbankbenutzer zu erstellen, zu dem Sie eine Verbindung mit der Kerberos-Authentifizierung herstellen können, verwenden Sie eine IDENTIFIED WITH-Klausel in der CREATE USER-Anweisung. Detaillierte Anweisungen finden Sie unter Schritt 5: Kerberos-Authentifizierung erstellen Meine Logins SQL.

Um Fehler zu vermeiden, sollten Sie den MariaDB-mysql-Client verwenden. Sie können die MariaDB-Software unter https://downloads.mariadb.org/ herunterladen.

Stellen Sie in einer Befehlszeile eine Verbindung zu einem der Endpunkte her, die Ihrer My DB-Instance zugeordnet sind. SQL Befolgen Sie die allgemeinen Verfahren in Verbindung zu einer DB-Instance herstellen, auf der die My SQL Database-Engine ausgeführt wird. Wenn Sie zur Eingabe des Passworts aufgefordert werden, geben Sie es mit diesem Benutzernamen verknüpfte Kerberos-Passwort ein.

Eine My SQL DB-Instance wiederherstellen und zu einer Domain hinzufügen

Sie können einen DB-Snapshot point-in-time wiederherstellen oder eine Wiederherstellung für eine My SQL DB-Instance abschließen und sie dann einer Domain hinzufügen. Nachdem die DB-Instance wiederhergestellt wurde, modifizieren Sie die DB-Instance mit dem in Schritt 4: Erstellen oder ändern Sie eine My SQL DB-Instance erklärten Prozess, um die DB-Instance zu einer Domäne hinzuzufügen.

Kerberos-Authentifizierung Meine Einschränkungen SQL

Die folgenden Einschränkungen gelten für die Kerberos-Authentifizierung für My: SQL