Ping Identity - Amazon Redshift
Schritt 1: Richten Sie Ping Identity und Ihr AWS Konto so ein, dass sie sich gegenseitig vertrauenSchritt 2: Richten Sie JDBC oder ODBC für die Authentifizierung bei Ping Identity ein

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Ping Identity

Sie können Ping Identity als Identitätsanbieter (IdP) verwenden, um auf Ihren Amazon-Redshift-Cluster zuzugreifen. Dieses Tutorial zeigt Ihnen, wie Sie Ping Identity als Identitätsanbieter (IdP) für den Zugriff auf Ihren Amazon Redshift Redshift-Cluster verwenden können.

Schritt 1: Richten Sie Ping Identity und Ihr AWS Konto so ein, dass sie sich gegenseitig vertrauen

Das folgende Verfahren beschreibt, wie Sie mithilfe des PingOne Portals eine Vertrauensbeziehung einrichten.

So richten Sie Ping Identity und Ihr AWS Konto so ein, dass sie sich gegenseitig vertrauen

  1. Erstellen oder verwenden Sie einen vorhandenen Amazon-Redshift-Cluster, mit dem Ihre Ping-Identity-Benutzer eine Verbindung herstellen können. Um die Verbindung zu konfigurieren, werden bestimmte Eigenschaften dieses Clusters benötigt, z. B. die Clusterkennung. Weitere Informationen finden Sie unter Erstellen eines Clusters.

  2. Fügen Sie Amazon Redshift als neue SAML Anwendung im PingOne Portal hinzu. Ausführliche Schritte finden Sie in der Ping Identity-Dokumentation.

    1. Wechseln Sie zu My Applications (Meine Anwendungen).

    2. Wählen Sie unter Anwendung hinzufügen die Option Neue SAML Anwendung aus.

    3. Geben Sie unter Application name (Anwendungsname) Amazon Redshift ein.

    4. Wählen Sie als Protokollversion SAML v2.0 aus.

    5. Wählen Sie unter Category (Kategorie) your-application-category aus.

    6. Geben Sie für Assertion Consumer Service (ACS) ein. your-redshift-local-host-url Dies ist der lokale Host und Port, zu dem die SAML Assertion umleitet.

    7. Geben Sie für Entity ID (Entitäts-ID) urn:amazon:webservices ein.

    8. Wählen Sie für Signing (Signieren) die Option Sign Assertion (Zusicherung signieren).

    9. Erstellen Sie im Abschnitt SSOAttributzuordnung die Ansprüche, wie in der folgenden Tabelle dargestellt.

      Anwendungsattribut Identity Bridge-Attribut des Literalwerts

      https://aws.amazon.com/SAML/Attributes/Role

      arn:aws:iam::123456789012:Rolle/Ping, arn:aws:iam::123456789012:saml-provider/PingProvider

      https://aws.amazon.com/SAML/Attributes/RoleSessionName

      email

      https://redshift.amazon.com/SAML/Attributes/AutoCreate

      „true“

      https://redshift.amazon.com/SAML/Attribute/ DbUser

      email

      https://redshift.amazon.com/SAML/Attribute/ DbGroups

      Die Gruppen in den Attributen „DbGroups“ enthalten das Präfix @directory. Um dies zu entfernen, geben Sie im Feld Identity Bridge Folgendes ein memberOf. Wählen Sie unter Funktion die Option ExtractByRegularExpression. Geben Sie bei Expression (Ausdruck) (.*)[\@](?:.*) ein.

  3. Richten Sie unter Group Access (Gruppenzugriff) bei Bedarf den folgenden Gruppenzugriff ein:

    • https://aws.amazon.com/SAML/Attributes/Role

    • https://aws.amazon.com/SAML/Attributes/RoleSessionName

    • https://redshift.amazon.com/SAML/Attributes/AutoCreate

    • https://redshift.amazon.com/SAML/Attributes/DbUser

  4. Überprüfen Sie Ihre Einrichtung und nehmen Sie Änderungen vor, wenn notwendig.

  5. Verwenden Sie Single Sign-On initiate (SSO) URL als Anmeldung URL für das SAML Browser-Plug-In.

  6. Erstellen Sie einen IAM SAML Identitätsanbieter auf der IAM Konsole. Das von Ihnen bereitgestellte Metadatendokument ist die XML Verbund-Metadatendatei, die Sie bei der Einrichtung von Ping Identity gespeichert haben. Ausführliche Schritte finden Sie im IAMBenutzerhandbuch unter Erstellen und Verwalten eines IAM Identitätsanbieters (Konsole).

  7. Erstellen Sie eine IAM Rolle für den SAML 2.0-Verbund auf der IAM Konsole. Eine ausführliche Anleitung finden Sie unter Rolle erstellen für SAML im IAMBenutzerhandbuch.

  8. Erstellen Sie eine IAM Richtlinie, die Sie der IAM Rolle zuordnen können, die Sie für den SAML 2.0-Verbund auf der IAM Konsole erstellt haben. Eine ausführliche Anleitung finden Sie unter IAMRichtlinien erstellen (Konsole) im IAMBenutzerhandbuch. Ein Azure AD-Beispiel finden Sie unter Einrichtung JDBC der ODBC Single-Sign-On-Authentifizierung.

Schritt 2: Richten Sie JDBC oder ODBC für die Authentifizierung bei Ping Identity ein

JDBC
Um die Authentifizierung JDBC bei Ping Identity einzurichten

  • Konfigurieren Sie Ihren Datenbankclient so, dass er JDBC mithilfe von Ping Identity Single Sign-On eine Verbindung zu Ihrem Cluster herstellt.

    Sie können jeden Client verwenden, der einen JDBC Treiber verwendet, um mithilfe von Ping Identity Single Sign-On eine Verbindung herzustellen, oder eine Sprache wie Java verwenden, um mithilfe eines Skripts eine Verbindung herzustellen. Informationen zur Installation und Konfiguration finden Sie unter Konfiguration einer Verbindung für JDBC Treiberversion 2.1 für Amazon Redshift.

    Sie können beispielsweise SQLWorkbench /J als Client verwenden. Wenn Sie SQLWorkbench /J konfigurieren, verwendet Ihre Datenbank das folgende Format. URL

    jdbc:redshift:iam://cluster-identifier:us-west-1/dev

    Wenn Sie SQLWorkbench /J als Client verwenden, gehen Sie wie folgt vor:

    1. Starten Sie SQL Workbench/J. Fügen Sie auf der Seite „Verbindungsprofil auswählen“ beispielsweise eine Profilgruppe hinzu. Ping

    2. Geben Sie unter Connection Profile (Verbindungsprofil) your-connection-profile-name ein, z. B. Ping.

    3. Wählen Sie Manage Drivers (Treiber verwalten) und dann Amazon Redshift aus. Klicken Sie auf das Symbol „Ordner öffnen“ neben „Bibliothek“ und wählen Sie dann die entsprechende JDBC JAR-Datei aus.

    4. Fügen Sie auf der Seite Select Connection Profile (Verbindungsprofil auswählen) dem Verbindungsprofil Informationen wie folgt hinzu:

      • Geben Sie unter Benutzer Ihren PingOne Benutzernamen ein. Dies ist der Benutzername des PingOne Kontos, das Sie für Single Sign-On verwenden und das über Berechtigungen für den Cluster verfügt, mit dem Sie sich authentifizieren möchten.

      • Geben Sie unter Passwort Ihr PingOne Passwort ein.

      • Wählen Sie für Driver (Treiber) die Option Amazon Redshift (com.amazon.redshift.jdbc.Driver) aus.

      • Geben Sie für URLeinjdbc:redshift:iam://your-cluster-identifier:your-cluster-region/your-database-name.

    5. Wählen Sie Extended Properties (Erweiterte Eigenschaften), und führen Sie einen der folgenden Schritte aus:

      • Geben Sie für login_url your-ping-sso-login-url ein. Dieser Wert gibt an, URL dass Single Sign-On als Authentifizierung für die Anmeldung verwendet werden soll.

      • Geben Sie bei Ping Identity für plugin_name com.amazon.redshift.plugin.PingCredentialsProvider ein. Dieser Wert gibt an, dass der Treiber Single Sign-On mit Ping Identity als Authentifizierungsmethode verwenden soll.

      • Geben Sie für Ping Identity mit Single Sign-On im Feld plugin_name com.amazon.redshift.plugin.BrowserSamlCredentialsProvider ein. Dieser Wert legt fest, dass der Treiber Ping Identity PingOne mit Single Sign-On als Authentifizierungsmethode verwenden soll.

ODBC
Um die Authentifizierung ODBC bei Ping Identity einzurichten

  • Konfigurieren Sie Ihren Datenbankclient so, dass er ODBC mithilfe von Ping Identity PingOne Single Sign-On eine Verbindung zu Ihrem Cluster herstellt.

    Amazon Redshift bietet ODBC Treiber für Linux-, Windows- und MacOS-Betriebssysteme. Stellen Sie vor der Installation eines ODBC Treibers fest, ob es sich bei Ihrem SQL Client-Tool um eine 32-Bit- oder 64-Bit-Version handelt. Installieren Sie den ODBC Treiber, der den Anforderungen Ihres SQL Client-Tools entspricht.

    Geben Sie unter Windows auf der Amazon Redshift ODBC Driver DSN Setup-Seite unter Verbindungseinstellungen die folgenden Informationen ein:

    • Geben Sie für Data Source Name (Datenquellenname) your-DSN ein. Dies gibt den Namen der Datenquelle an, der als ODBC Profilname verwendet wird.

    • Führen Sie für Auth type (Authentifizierungstyp) eine der folgenden Aktionen aus:

      • Wählen Sie für die Ping Identity-Konfiguration Identitätsanbieter: Ping Federate aus. Dies ist die Authentifizierungsmethode, die der ODBC Treiber verwendet, um sich mithilfe von Ping Identity Single Sign-On zu authentifizieren.

      • Wählen Sie für Ping Identity mit Single Sign-On-Konfiguration Identity Provider: Browser. SAML Dies ist die Authentifizierungsmethode, die der ODBC Treiber verwendet, um sich mithilfe von Ping Identity mit Single Sign-On zu authentifizieren.

    • Geben Sie für Cluster ID (Cluster-ID) your-cluster-identifier ein.

    • Geben Sie für Region your-cluster-region ein.

    • Geben Sie für Database (Datenbank) your-database-name ein.

    • Geben Sie für User (Benutzer) your-ping-username ein. Dies ist der Benutzername für das PingOne Konto, das Sie für Single Sign-On verwenden und das über Berechtigungen für den Cluster verfügt, mit dem Sie sich authentifizieren möchten. Verwenden Sie dies nur für den Authentifizierungstyp Identity Provider:. PingFederate

    • Geben Sie unter Password (Passwort) your-ping-password ein. Verwenden Sie dies nur für den Authentifizierungstyp Identity Provider:. PingFederate

    • Geben Sie als Listen Port „your-listen-port“ ein. Dies ist der Port, den der lokale Server überwacht. Der Standardwert ist 7890. Dies gilt nur für das SAML Browser-Plugin.

    • Geben Sie für Response Timeout (Antwortzeitüberschreitung) the-number-of-seconds ein. Dies ist die Anzahl der Sekunden, für die vor dem Timeout gewartet werden muss, wenn der IdP-Server eine Antwort zurücksendet. Die Mindestanzahl von Sekunden muss 10 sein. Wenn es länger dauert, eine Verbindung mit dem Server herzustellen, als durch diesen Schwellenwert angegeben, wird die Verbindung abgebrochen. Dies gilt nur für das SAML Browser-Plugin.

    • Geben Sie für Login URL einyour-login-url. Dies gilt nur für das SAML Browser-Plugin.

    Bearbeiten Sie die odbc.ini-Datei unter Mac OS und Linux wie folgt:

    Anmerkung

    Bei allen Eingaben wird zwischen Groß- und Kleinschreibung unterschieden.

    • Geben Sie für clusterid your-cluster-identifier ein. Dies ist der Name des erstellten Amazon-Redshift-Clusters.

    • Geben Sie für Region your-cluster-region ein. Dies ist die AWS Region des erstellten Amazon Redshift Redshift-Clusters.

    • Geben Sie für die database your-database-name ein. Dies ist der Name der Datenbank, auf die Sie im Amazon-Redshift-Cluster zugreifen möchten.

    • Geben Sie für locale en-us ein. Dies ist die Sprache, in der Fehlermeldungen angezeigt werden.

    • Geben Sie für iam 1 ein. Dieser Wert gibt dem Treiber an, sich mithilfe IAM von Anmeldeinformationen zu authentifizieren.

    • Führen Sie für plugin_name einen der folgenden Schritte aus:

      • Geben Sie für die Ping Identity-Konfiguration ein BrowserSAML. Dies ist die Authentifizierungsmethode, mit der sich der ODBC Treiber bei Ping Identity authentifiziert.

      • Geben Sie für Ping Identity mit Single-Sign-On-Konfiguration Ping ein. Dies ist die Authentifizierungsmethode, die der ODBC Treiber verwendet, um sich mithilfe von Ping Identity mit Single Sign-On zu authentifizieren.

    • Geben Sie für uid your-ping-username ein. Dies ist der Benutzername des Microsoft Azure-Kontos, das Sie für die einmalige Anmeldung (Single-Sign-On) verwenden und das über die Berechtigung für den Cluster verfügt, für den Sie sich authentifizieren möchten. Verwenden Sie dies nur, wenn plugin_name Ping ist.

    • Geben Sie für pwd your-ping-password ein. Verwenden Sie dies nur, wenn plugin_name Ping ist.

    • Geben Sie für login_url your-login-url ein. Dies ist das Initiate Single Sign-OnURL, das die Antwort zurückgibt. SAML Dies gilt nur für das SAML Browser-Plugin.

    • Geben Sie für idp_response_timeout the-number-of-seconds ein. Dies ist der angegebene Zeitraum in Sekunden, in dem auf eine Antwort von PingOne Identity gewartet werden soll. Dies gilt nur für das SAML Browser-Plugin.

    • Geben Sie bei listen_port „your-listen-port“ ein. Dies ist der Port, den der lokale Server überwacht. Der Standardwert ist 7890. Dies gilt nur für das SAML Browser-Plugin.

    Bearbeiten Sie unter macOS und Linux auch die Profileinstellungen, um folgende Exporte hinzuzufügen:

    export ODBCINI=/opt/amazon/redshift/Setup/odbc.ini
    export ODBCINSTINI=/opt/amazon/redshift/Setup/odbcinst.ini