Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration Kerberos authentification pour les instances de base de données Amazon RDS pour Db2

Vous utilisez AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) pour configurer Kerberos authentification pour une instance de base de données RDS pour DB2. Pour configurer Kerberos Pour vous authentifier, procédez comme suit :

Étape 1 : créer un répertoire à l'aide de AWS Managed Microsoft AD

AWS Directory Service crée une solution entièrement gérée Active Directory dans le AWS Cloud. Lorsque vous créez un AWS Managed Microsoft AD répertoire, il AWS Directory Service crée deux contrôleurs de domaine et deux DNS serveurs pour vous. Les serveurs d'annuaire sont créés dans différents sous-réseaux d'unVPC. Cette redondance permet de s'assurer que votre répertoire reste accessible y compris en cas de défaillance.

Lorsque vous créez un AWS Managed Microsoft AD répertoire, il AWS Directory Service exécute les tâches suivantes en votre nom :

Lorsque vous lancez AWS Directory Service for Microsoft Active Directory, AWS crée une unité organisationnelle (UO) qui contient tous les objets de votre répertoire. Cette unité d'organisation, qui porte le BIOS nom réseau que vous avez saisi lors de la création de votre répertoire, se trouve dans la racine du domaine. La racine du domaine est détenue et gérée par AWS.

Le Admin compte créé avec votre AWS Managed Microsoft AD annuaire dispose d'autorisations pour les activités administratives les plus courantes de votre unité d'organisation :

Le compte Admin dispose également de droits pour exécuter les activités suivantes au niveau du domaine :

La création de l'annuaire prend plusieurs minutes. Lorsqu'il est créé, la valeur du champ Status (Statut) devient Active (Actif).

Pour consulter les informations relatives à votre répertoire, choisissez l'ID du répertoire sous ID du répertoire. Notez la valeur de Directory ID (ID du répertoire). Vous avez besoin de cette valeur lorsque vous créez ou modifiez votre instance de base de données RDS for DB2.

Étape 2 : créer un IAM rôle auquel Amazon RDS pourra accéder AWS Directory Service

Pour RDS qu'Amazon puisse vous appeler AWS Directory Service , vous avez Compte AWS besoin d'un IAM rôle qui utilise la IAM politique géréeAmazonRDSDirectoryServiceAccess. Ce rôle permet RDS à Amazon de passer des appels à AWS Directory Service.

Lorsque vous créez une instance de base de données à l'aide de AWS Management Console et que votre compte utilisateur de console dispose de l'iam:CreateRoleautorisation, la console crée automatiquement le IAM rôle nécessaire. Dans ce cas, le nom du rôle est rds-directoryservice-kerberos-access-role. Dans le cas contraire, vous devez créer le IAM rôle manuellement. Lorsque vous créez ce IAM rôleDirectory Service, choisissez et associez la politique AWS gérée AmazonRDSDirectoryServiceAccess à celui-ci.

Pour plus d'informations sur la création de IAM rôles pour un service, consultez la section Création d'un rôle pour déléguer des autorisations à un AWS service dans le Guide de IAM l'utilisateur.

Vous pouvez également créer des stratégies avec les autorisations obligatoires au lieu d'utiliser la politique gérée AmazonRDSDirectoryServiceAccess. Dans ce cas, le IAM rôle doit respecter la politique de IAM confiance suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Le rôle doit également respecter la politique de IAM rôle suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Étape 3 : Créer et configurer des utilisateurs

Vous pouvez créer des utilisateurs à l'aide du Active Directory Users and Computers outil. C'est l'un des Active Directory Domain Services and Active Directory Lightweight Directory Services outils. Pour plus d'informations, voir Ajouter des utilisateurs et des ordinateurs au Active Directory domaine dans le Microsoft . Dans ce cas, les utilisateurs sont des individus ou d'autres entités, tels que leurs ordinateurs, qui font partie du domaine et dont l'identité est conservée dans l'annuaire.

Pour créer des utilisateurs dans un AWS Directory Service annuaire, vous devez être connecté à WindowsEC2instance Amazon basée sur Amazon qui est membre de l' AWS Directory Service annuaire. Dans le même temps, vous devez être connecté en tant qu'utilisateur disposant des privilèges nécessaires pour créer des utilisateurs. Pour plus d'informations, consultez Créer un utilisateur dans le Guide d'administration AWS Directory Service .

Étape 4 : Créez un groupe d'administrateurs RDS pour DB2 dans AWS Managed Microsoft AD

RDScar Db2 ne prend pas en charge Kerberos authentification pour l'utilisateur principal ou les deux utilisateurs RDS réservés d'Amazon rdsdb etrdsadmin. Au lieu de cela, vous devez créer un nouveau groupe appelé masterdba in AWS Managed Microsoft AD. Pour plus d'informations, voir Créer un compte de groupe dans Active Directorydans le Microsoft . Tous les utilisateurs que vous ajoutez à ce groupe auront des privilèges d'utilisateur principal.

Après avoir activé Kerberos authentification, l'utilisateur principal perd le masterdba rôle. Par conséquent, l'utilisateur principal ne pourra pas accéder à l'appartenance au groupe d'utilisateurs local de l'instance à moins que vous ne le désactiviez Kerberos authentification. Pour continuer à utiliser l'utilisateur principal connecté par mot de passe, créez un utilisateur AWS Managed Microsoft AD portant le même nom que l'utilisateur principal. Ajoutez ensuite cet utilisateur au groupemasterdba.

Étape 5 : créer ou modifier une instance de base de données RDS pour DB2

Créez ou modifiez une instance de base de données RDS for DB2 à utiliser avec votre annuaire. Vous pouvez utiliser le AWS Management Console AWS CLI, le ou le RDS API pour associer une instance de base de données à un répertoire. Vous pouvez effectuer cette opération de différentes manières :

Kerberos l'authentification n'est prise en charge que RDS pour les instances de base de données DB2 dans unVPC. L'instance de base de données peut se trouver dans VPC le même répertoire ou dans un autreVPC. L'instance de base de données doit utiliser un groupe de sécurité qui autorise l'entrée et la sortie dans le répertoire VPC afin que l'instance de base de données puisse communiquer avec l'annuaire.

Étape 6 : Configuration d'un client DB2

L'exemple suivant est le contenu du fichier /etc/krb5.conf pour : AWS Managed Microsoft AD

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM