Uso de la autenticación de Kerberos de Amazon RDS para Microsoft SQL Server

Puede usar la autenticación Kerberos para autenticar a los usuarios cuando estos se conecten a su instancia de base de datos de MySQL. La instancia de base de datos funciona con AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) para habilitar la autenticación Kerberos. Cuando los usuarios se autentican con una instancia de base de datos MySQL unida al dominio de confianza, las solicitudes de autenticación se reenvían. Las solicitudes reenviadas van al directorio de dominio con el que crea AWS Directory Service.

Mantener todas las credenciales en el mismo directorio puede ahorrarle tiempo y esfuerzo. Con este método, dispone de un lugar centralizado para almacenar y administrar credenciales de numerosas instancias de bases de datos. El uso de un directorio también puede mejorar su perfil de seguridad general.

Disponibilidad en regiones y versiones

La disponibilidad de las características varía según las versiones específicas de cada motor de base de datos y entre Regiones de AWS. Para obtener más información sobre la disponibilidad en versiones y regiones de Amazon RDS con autenticación Kerberos, consulte Regiones y motores de base de datos admitidos para autenticación de Kerberos en Amazon RDS.

Información general sobre la configuración de la autenticación Kerberos para instancias de base de datos MySQL

Para configurar la autenticación Kerberos para una instancia de base de datos de MySQL, complete los siguientes pasos generales, que se describen con más detalle más adelante:

Configuración de la autenticación Kerberos para instancias de base de datos MySQL

Utilice AWS Managed Microsoft AD para configurar la autenticación Kerberos para una instancia de base de datos MySQL. Para configurar la autenticación Kerberos, siga los pasos que se indican a continuación:

Paso 1: crear un directorio con AWS Managed Microsoft AD

AWS Directory Service crea un directorio de Active Directory completamente administrado en la nube de AWS. Cuando crea un directorio de AWS Managed Microsoft AD, AWS Directory Service crea dos controladores de dominio y servidores del sistema de nombres de dominio (DNS) en su nombre. Los servidores de directorios se crean en diferentes subredes de una VPC. Esta redundancia ayuda a garantizar que su directorio permanezca accesible incluso si ocurre un error.

Cuando crea un directorio de AWS Managed Microsoft AD, AWS Directory Service realiza en su nombre las siguientes tareas:

Al lanzar AWS Managed Microsoft AD, AWS crea una unidad organizativa (OU) que contiene todos los objetos del directorio. Esta unidad organizativa tiene el nombre de NetBIOS que escribió al crear el directorio y se encuentra en la raíz del dominio. La raíz del dominio es propiedad de , que también se encarga de su administració AWS.

La cuenta de administrador que se creó con el directorio AWS Managed Microsoft AD dispone de permisos para realizar las actividades administrativas más habituales para la unidad organizativa:

La cuenta de administrador también tiene derechos para realizar las siguientes actividades en todo el dominio:

La creación del directorio tarda varios minutos. Cuando se haya creado correctamente, el valor de Status (Estado) cambiará a Active (Activo).

Para consultar información de su directorio, seleccione el nombre del directorio en la descripción de directorios. Tenga en cuenta el valor de Directory ID (ID de directorio) porque necesitará este valor cuando cree o modifique su instancia de base de datos MySQL.

Paso 2: crear el rol de IAM que usará Amazon RDS

Para que Amazon RDS llame a AWS Directory Service en su nombre, se precisa un rol de IAM que utilice la política de IAM administrada AmazonRDSDirectoryServiceAccess. Este rol permite a Amazon RDS realizar llamadas a AWS Directory Service.

Cuando se crea una instancia de base de datos con la AWS Management Console y el usuario de la consola tiene el permiso iam:CreateRole, la consola crea este rol automáticamente. En este caso, el nombre del rol es rds-directoryservice-kerberos-access-role. De no ser así, debe crear el rol de IAM manualmente. Cuando cree este rol de IAM, elija Directory Service y asocie la política administrada de AWS AmazonRDSDirectoryServiceAccess a este.

A fin de obtener más información acerca de la creación de roles de IAM para un servicio, consulte Creación de un rol para delegar permisos a un servicio de AWS en la guía del usuario de IAM.

Opcionalmente, puede crear políticas con los permisos requeridos en vez de utilizar la política de IAM administrad AmazonRDSDirectoryServiceAccess. En este caso, el rol de IAM debe tener la siguiente política de confianza de IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

El rol debe también tener la siguiente política de rol de IAM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Paso 3: crear y configurar usuarios

Puede crear usuarios con la herramienta Usuarios y equipos de Active Directory. Esta herramienta forma parte de las herramientas Active Directory Domain Services y Active Directory Lightweight Directory Services. Los usuarios representan a las personas físicas o entidades que tienen acceso al directorio.

Para crear usuarios en un directorio de AWS Directory Service, tiene que estar conectado a una instancia de Amazon EC2 basada en Microsoft Windows. Esta instancia tiene que ser miembro del directorio de AWS Directory Service y debe haber iniciado sesión como usuario con privilegios para crear usuarios. Para obtener más información, consulte Administrar usuarios y grupos de AWS Managed Microsoft AD en la Guía de administración de AWS Directory Service.

Paso 4: crear o modificar una instancia de base de datos MySQL

Cree o modifique una instancia de base de datos MySQL para usarla con su directorio. Puede utilizar la consola, CLI, o la API de RDS para asociar una instancia de base de datos con un directorio. Puede hacerlo de una de las siguientes formas:

La autenticación Kerberos solo es compatible con instancias de base de datos de MySQL en una VPC. La instancia de DB puede estar en la misma VPC que el directorio o en una VPC diferente. La instancia de base de datos debe usar un grupo de seguridad que permita la salida dentro de la VPC del directorio, de modo que la instancia de base de datos pueda comunicarse con el directorio.

Si utiliza la consola para crear, modificar o restaurar una instancia de base de datos, elija Password and Kerberos authentication (Contraseña y autenticación de Kerberos) en la sección Database authentication (Autenticación de base de datos). Elija Browse Directory (Examinar directorio) y, a continuación, seleccione el directorio o elija Create a new directory (Crear un nuevo directorio).

Cuando use la AWS CLIo la API de RDS, asocie una instancia de base de datos a un directorio. Es obligatorio incluir los parámetros siguientes para que la instancia de base de datos pueda usar el directorio de dominio que ha creado:

Por ejemplo, el siguiente comando de CLI modifica una instancia de base de datos para usar un directorio.

Para Linux, macOS, o Unix:

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --domain d-ID \
    --domain-iam-role-name role-name
            

En:Windows

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --domain d-ID ^
    --domain-iam-role-name role-name 
            

Paso 5: crear inicios de sesión MySQL de autenticación Kerberos

Use las credenciales del usuario maestro de Amazon RDS para conectarse a la instancia de base de datos MySQL igual que con cualquier otra instancia de base de datos. La instancia de base de datos se une al dominio de AWS Managed Microsoft AD. Por lo tanto, puede aprovisionar inicios de sesión y usuarios de MySQL a partir de usuarios de Active Directory en su dominio. Los permisos de base de datos se administran mediante permisos estándar de MySQL que se conceden y revocan desde estos inicios de sesión.

Puede permitir que un usuario de Active Directory se autentique con MySQL. Para ello, primero use las credenciales de usuario maestro de Amazon RDS para conectarse a la instancia de base de datos MySQL igual que con cualquier otra instancia de base de datos. Después de haber iniciado sesión, cree un usuario autenticado externamente con PAM (Módulos de autenticación conectables) en MySQL ejecutando el siguiente comando. Sustituya testuser por el nombre de usuario.

CREATE USER 'testuser'@'%' IDENTIFIED WITH 'auth_pam';

Ahora, los usuarios (tanto humanos como aplicaciones) del dominio pueden conectarse a la instancia de base de datos desde un equipo cliente unido al dominio mediante la autenticación Herberos.

ALTER USER 'testuser'@'%' REQUIRE SSL;

Administración de una instancia de base de datos en un dominio

Puede usar la CLI o la API de RDS para administrar la instancia de base de datos y su relación con su Active Directory administrado. Por ejemplo, puede asociar un Active Directory para la autenticación Kerberos y desasociar un Active Directory para deshabilitar la autenticación Kerberos. También puede mover una instancia de base de datos para que sea autenticada externamente por un Active Directory a otro.

Por ejemplo, con la API de Amazon RDS puede hacer lo siguiente:

Descripción de la pertenencia a los dominios

Una vez que haya creado o modificado una instancia de base de datos, esta se convierte en miembro del dominio. Si desea ver el estado de pertenencia al dominio de la instancia de base de datos, ejecute el comando de la CLI describe-db-instances. El estado de la instancia de base de datos puede ser uno de los siguientes:

Una solicitud para habilitar la autenticación Kerberos puede generar un error a causa de un problema de conectividad de la red o de un rol de IAM incorrecto. Por ejemplo, supongamos que crea una instancia de base de datos o modifica una instancia de base de datos ya existente y se produce un error en el intento de habilitar la autenticación Kerberos. Si esto sucede, vuelva a ejecutar el comando modify o modifique la instancia de base de datos recién creada para unirse al dominio.

Conexión a Oracle con autenticación Kerberos

Para conectarse a MySQL con autenticación Kerberos, inicie sesión con el tipo de autenticación Kerberos.

Para crear un usuario de base de datos al que pueda conectarse mediante la autenticación Kerberos, utilice una cláusula IDENTIFIED WITH en la instrucción CREATE USER. Para obtener instrucciones, consulte Paso 5: crear inicios de sesión MySQL de autenticación Kerberos.

Para evitar errores, utilice el cliente de mysql MariaDB. Puede descargar el software MariaDB en https://downloads.mariadb.org/.

En el símbolo del sistema, conéctese a uno de los puntos de enlace asociados a su instancia de base de datos MySQL. Siga el procedimiento general de Conexión a una instancia de base de datos que ejecuta el motor de base de datos de MySQL. Cuando se le pida la contraseña, escriba la contraseña de Kerberos asociada a ese nombre de usuario.

Restauración de una instancia de base de datos MySQL y adición de esta a un dominio

Puede restaurar una instantánea de base de datos o realizar una restauración a un momento dado de una instancia de base de datos MySQL y, a continuación, agregarla al dominio. Después de que la instancia de base de datos se haya restaurado, modifíquela mediante el proceso que se explica en la sección Paso 4: crear o modificar una instancia de base de datos MySQL para agregar la instancia de base de datos a un dominio.

Limitaciones de MySQL con la autenticación Kerberos

Las siguientes limitaciones se aplican a la autenticación Kerberos para MySQL: