Configuración de autenticación Kerberos para clústeres de base de datos de PostgreSQL

Utilice AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) para configurar la autenticación Kerberos para un clúster de base de datos de PostgreSQL. Para configurar la autenticación Kerberos, siga los pasos que se indican a continuación:

Paso 1: crear un directorio con AWS Managed Microsoft AD

AWS Directory Service crea un directorio de Active Directory completamente administrado en la nube de AWS. Al crear un directorio de AWS Managed Microsoft AD, AWS Directory Service crea dos controladores de dominio y servidores DNS para usted. Los servidores de directorios se crean en diferentes subredes de una VPC. Esta redundancia ayuda a garantizar que su directorio permanezca accesible incluso si ocurre un error.

Cuando se crea un directorio de AWS Managed Microsoft AD, AWS Directory Service realiza las siguientes tareas en su nombre:

Al lanzar AWS Directory Service for Microsoft Active Directory, AWS crea una unidad organizativa (OU) que contiene todos los objetos del directorio. Esta unidad organizativa, que tiene el nombre de NetBIOS que introdujo al crear el directorio, se encuentra en la raíz del dominio. La raíz del dominio es propiedad de , que también se encarga de su administració AWS.

La cuenta Admin que se creó con el directorio de AWS Managed Microsoft AD dispone de permisos para realizar las actividades administrativas más habituales para la unidad organizativa:

La cuenta Admin también tiene derechos para realizar las siguientes actividades en todo el dominio:

La creación del directorio tarda varios minutos. Cuando se haya creado correctamente, el valor de Status (Estado) cambiará a Active (Activo).

Para ver información acerca de su directorio, seleccione el ID del directorio en la lista de directorios. Anote el valor de Directory ID (ID de directorio). Necesita este valor cuando cree o modifique su instancia de base de datos de PostgreSQL.

Paso 2: (opcional) crear una relación de confianza entre su Active Directory en las instalaciones y AWS Directory Service

Si no planea usar su propio Microsoft Active Directory local, vaya a Paso 3: crear un rol de IAM para que Amazon Aurora acceda a AWS Directory Service.

Para obtener la autenticación Kerberos mediante Active Directory en las instalaciones, debe crear una relación de dominio de confianza entre Microsoft Active Directory en las instalaciones y el directorio AWS Managed Microsoft AD (creado en Paso 1: crear un directorio con AWS Managed Microsoft AD). La confianza puede ser unidireccional, donde el directorio AWS Managed Microsoft AD confía en Microsoft Active Directory local. La confianza también puede ser bidireccional, donde ambos Active Directories confían entre sí. Para obtener más información acerca de la configuración de relaciones de confianza con AWS Directory Service, consulte Cuándo crear una relación de confianza en la guía de administración de AWS Directory Service.

Asegúrese de que el nombre de dominio local de Microsoft Active Directory incluya un enrutamiento de sufijo DNS que corresponda a la relación de confianza recién creada. En la siguiente captura de pantalla, se muestra un ejemplo.

Paso 3: crear un rol de IAM para que Amazon Aurora acceda a AWS Directory Service

Para que Amazon Aurora llame a AWS Directory Service en su nombre, su cuenta de AWS se precisa un rol de IAM que utilice la política de IAM administrada AmazonRDSDirectoryServiceAccess. Este rol permite que Amazon Aurora llame a AWS Directory Service. (Tenga en cuenta que este rol de IAM es diferente para acceder a AWS Directory Service al rol de IAM utilizado para Autenticación de bases de datos de IAM ).

Cuando se crea una instancia de base de datos con la AWS Management Console y la cuenta de usuario de la consola tiene el permiso iam:CreateRole, la consola crea automáticamente el rol de IAM necesario. En este caso, el nombre del rol es rds-directoryservice-kerberos-access-role. De no ser así, debe crear el rol de IAM manualmente. Cuando cree este rol de IAM, elija Directory Service y asocie la política administrada de AWS AmazonRDSDirectoryServiceAccess a este.

A fin de obtener más información acerca de la creación de roles de IAM para un servicio, consulte Creación de un rol para delegar permisos a un servicio de AWS en la guía del usuario de IAM.

Como alternativa al uso de la política administrada de AmazonRDSDirectoryServiceAccess, puede crear políticas con los permisos necesarios. En este caso, el rol de IAM debe tener la siguiente política de confianza de IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

El rol debe también tener la siguiente política de rol de IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Paso 4: crear y configurar usuarios

Puede crear usuarios usando la herramienta Usuarios y equipos de Active Directory. Es una de las herramientas Active Directory Domain Services y Active Directory Lightweight Directory Services. Para obtener más información, consulte Agregar usuarios y equipos al dominio de Active Directory en la documentación de Microsoft. En este caso, los usuarios son individuos u otras entidades, como sus equipos, que forman parte del dominio y cuyas identidades se mantienen en el directorio.

Para crear usuarios en un directorio de AWS Directory Service, debe estar conectado a una instancia de Amazon EC2 con Windows que sea miembro del directorio de AWS Directory Service. Al mismo tiempo, debe iniciar sesión como usuario con privilegios para crear usuarios. Para obtener más información, consulte Crear un usuario en la Guía de administración de AWS Directory Service.

Paso 5: habilitar el tráfico entre VPC entre el directorio y la instancia de base de datos

Si prevé ubicar el directorio y el clúster de base de datos en la misma VPC, omita este paso y continúe con Paso 6: crear o modificar un clúster de base de datos de PostgreSQL.

Si tiene previsto ubicar el directorio y la instancia de base de datos en diferentes VPC, configure el tráfico entre VPC mediante la interconexión de VPC o AWSTransit Gateway.

El siguiente procedimiento permite el tráfico entre VPC mediante la interconexión de VPC. Siga las instrucciones de ¿Qué es una interconexión de VPC? en la Guía de interconexión de Amazon Virtual Private Cloud.

Si una cuenta de AWS distinta es la propietaria del directorio, debe compartirlo.

Paso 6: crear o modificar un clúster de base de datos de PostgreSQL

Cree o modifique un clúster de base de datos de PostgreSQL para usarla con su directorio. Puede utilizar la consola, la CLI o la API de RDS para asociar un clúster de base de datos con un directorio. Puede hacerlo de una de las siguientes formas:

La autenticación de Kerberos solo es compatible con instancias de base de datos de PostgreSQL en una VPC. El clúster de DB puede estar en la misma VPC que el directorio o en una VPC diferente. El clúster de base de datos debe usar un grupo de seguridad que permita el ingreso y la salida dentro de la VPC del directorio, de modo que el clúster de base de datos pueda comunicarse con el directorio.

Paso 7: crear usuarios de PostgreSQL para las entidades principales de Kerberos

En este punto, su clúster de base de datos de Aurora PostgreSQL se une al dominio AWS Managed Microsoft AD. Los usuarios que haya creado en el directorio en el Paso 4: crear y configurar usuarios deben configurarse como usuarios de la base de datos de PostgreSQL y tener privilegios para iniciar sesión en la base de datos. Para ello, inicie sesión como usuario de la base de datos con privilegios rds_superuser. Por ejemplo, si ha aceptado los valores predeterminados al crear el clúster de base de datos de Aurora PostgreSQL , utiliza postgres, tal como se muestra en los pasos siguientes.

Cuando termine de crear todos los usuarios de PostgreSQL para sus identidades de usuario de Active Directory, los usuarios podrán acceder al clúster de base de datos de Aurora PostgreSQL con sus credenciales de Kerberos.

Es necesario que los usuarios de bases de datos que se autentican mediante Kerberos lo hagan desde máquinas de cliente que sean miembros del dominio de Active Directory.

Los usuarios de bases de datos a los que se les ha otorgado el rol rds_ad tampoco pueden tener el rol rds_iam. Esto se aplica también a las membresías anidadas. Para obtener más información, consulte Autenticación de bases de datos de IAM .

Configuración del clúster de base de datos de Aurora PostgreSQL para nombres de usuario que no distinguen mayúsculas de minúsculas

Las versiones 14.5, 13.8, 12.12 y 11.17 de Aurora PostgreSQL admiten el parámetro krb_caseins_users de PostgreSQL. Este parámetro admite nombres de usuario de Active Directory que no distinguen mayúsculas de minúsculas. De forma predeterminada, este parámetro está configurado en false, por lo que Aurora PostgreSQL interpreta los nombres de usuario con distinción entre mayúsculas y minúsculas. Este es el comportamiento predeterminado en todas las versiones anteriores de Aurora PostgreSQL. Sin embargo, puede establecer este parámetro en true en el grupo de parámetros del clúster de base de datos personalizado y permitir que su clúster de base de datos de Aurora PostgreSQL interprete los nombres de usuario sin distinguir mayúsculas de minúsculas. Considere la posibilidad de hacerlo para facilitar la vida a los usuarios de la base de datos, ya que a veces pueden escribir mal las mayúsculas y minúsculas de su nombre de usuario al autenticarse mediante Active Directory.

Para cambiar el parámetro krb_caseins_users, su clúster de base de datos de Aurora PostgreSQL debe utilizar un grupo de parámetros del clúster de base de datos personalizado. Para obtener más información acerca de cómo crear un grupo de parámetros del clúster de base de datos personalizado, consulte Grupos de parámetros para Amazon Aurora.

Puede utilizar la AWS CLI o la AWS Management Console para cambiar la configuración. Para obtener más información, consulte Modificación de los parámetros en un grupo de parámetros de clúster de base de datos en Amazon Aurora.

Paso 8: configurar un cliente de PostgreSQL

Para configurar un cliente de PostgreSQL, siga los pasos siguientes:

A continuación, se muestra el contenido krb5.conf para AWS Managed Microsoft AD.

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

A continuación, se muestra el contenido krb5.conf de ejemplo para un Microsoft Active Directory local.

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
 ONPREM.COM = {
  kdc = onprem.com
  admin_server = onprem.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM
 .onprem.com = ONPREM.COM
 onprem.com = ONPREM.COM  
 .rds.amazonaws.com = EXAMPLE.COM
 .amazonaws.com.rproxy.goskope.com.cn = EXAMPLE.COM
 .amazon.com = EXAMPLE.COM