Utilisation Kerberos authentification pour Amazon RDS pour Microsoft SQL Server

Vous pouvez utiliser l'authentification Kerberos pour authentifier les utilisateurs lorsqu'ils se connectent à votre instance My SQL DB. L'instance de base de données fonctionne avec AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) pour activer l'authentification Kerberos. Lorsque les utilisateurs s'authentifient auprès d'une instance My SQL DB jointe au domaine de confiance, les demandes d'authentification sont transmises. Les demandes transférées sont redirigées vers le répertoire de domaines que vous avez créé AWS Directory Service.

Vous pouvez gagner du temps et de l'argent en conservant toutes les informations d'identification dans le même annuaire. Cette approche vous permet d'avoir un endroit centralisé de stockage et de gestion des informations d'identification pour plusieurs instances de base de données. L'utilisation d'un annuaire peut également améliorer votre profil de sécurité global.

Disponibilité des régions et des versions

La disponibilité et la prise en charge des fonctionnalités varient selon les versions spécifiques de chaque moteur de base de données, et selon les Régions AWS. Pour plus d'informations sur la version et la disponibilité par région d'Amazon RDS avec l'authentification Kerberos, consultez. Régions et moteurs de base de données pris en charge pour l'authentification Kerberos sur Amazon RDS

Présentation de la configuration de l'authentification Kerberos pour les instances My DB SQL

Pour configurer l'authentification Kerberos pour une instance My SQL DB, suivez les étapes générales suivantes, décrites plus en détail ultérieurement :

Configuration de l'authentification Kerberos pour les instances My DB SQL

Vous l'utilisez AWS Managed Microsoft AD pour configurer l'authentification Kerberos pour une instance My SQL DB. Pour configurer l'authentification Kerberos, procédez comme suit :

Étape 1 : créer un répertoire à l'aide de AWS Managed Microsoft AD

AWS Directory Service crée un Active Directory entièrement géré dans le AWS cloud. Lorsque vous créez un AWS Managed Microsoft AD annuaire, il AWS Directory Service crée deux contrôleurs de domaine et deux serveurs Domain Name System (DNS) en votre nom. Les serveurs d'annuaire sont créés dans différents sous-réseaux d'unVPC. Cette redondance permet de s'assurer que votre annuaire reste accessible, y compris en cas de défaillance.

Lorsque vous créez un AWS Managed Microsoft AD répertoire, il AWS Directory Service exécute les tâches suivantes en votre nom :

Lorsque vous lancez un AWS Managed Microsoft AD, AWS crée une unité organisationnelle (UO) qui contient tous les objets de votre répertoire. Cette unité d'organisation porte le BIOS nom réseau que vous avez saisi lors de la création de votre répertoire et se trouve dans la racine du domaine. La racine du domaine est détenue et gérée par AWS.

Le compte administrateur créé avec votre AWS Managed Microsoft AD annuaire dispose d'autorisations pour les activités administratives les plus courantes de votre unité d'organisation :

Le compte Admin dispose également de droits pour exécuter les activités suivantes au niveau du domaine :

La création de l'annuaire prend plusieurs minutes. Lorsqu'il est créé, la valeur du champ Status (Statut) devient Active (Actif).

Pour consulter les informations relatives à votre annuaire, choisissez le nom de l'annuaire dans la liste. Notez la valeur de l'ID de répertoire, car vous en avez besoin lorsque vous créez ou modifiez votre instance My SQL DB.

Étape 2 : créer le IAM rôle à utiliser par Amazon RDS

Pour RDS qu'Amazon puisse vous appeler AWS Directory Service , un IAM rôle utilisant la IAM politique gérée AmazonRDSDirectoryServiceAccess est requis. Ce rôle permet RDS à Amazon de passer des appels au AWS Directory Service.

Lorsqu'une instance de base de données est créée à l'aide de AWS Management Console et que l'utilisateur de la console dispose de l'iam:CreateRoleautorisation, la console crée automatiquement ce rôle. Dans ce cas, le nom du rôle est rds-directoryservice-kerberos-access-role. Dans le cas contraire, vous devez créer le IAM rôle manuellement. Lorsque vous créez ce IAM rôleDirectory Service, choisissez et associez la politique AWS gérée AmazonRDSDirectoryServiceAccess à celui-ci.

Pour plus d'informations sur la création de IAM rôles pour un service, consultez la section Création d'un rôle pour déléguer des autorisations à un AWS service dans le Guide de IAM l'utilisateur.

Vous pouvez éventuellement créer des politiques avec les autorisations requises au lieu d'utiliser la IAM politique géréeAmazonRDSDirectoryServiceAccess. Dans ce cas, le IAM rôle doit respecter la politique de IAM confiance suivante.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Le rôle doit également respecter la politique de IAM rôle suivante.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Étape 3 : Créer et configurer des utilisateurs

Vous pouvez créer des utilisateurs avec l'outil Active Directory Users and Computers (Utilisateurs et ordinateurs Active Directory). Cet outil fait partie des outils Active Directory Domain Services et Active Directory Lightweight Directory Services (Services de domaine Active Directory et Services d'annuaire légers Active Directory). Les utilisateurs représentent des individus ou des entités individuelles qui ont accès à votre annuaire.

Pour créer des utilisateurs dans un AWS Directory Service annuaire, vous devez être connecté à une EC2 instance Amazon basée sur Microsoft Windows. Cette instance doit être membre de l' AWS Directory Service annuaire et être connectée en tant qu'utilisateur autorisé à créer des utilisateurs. Pour de plus amples informations, veuillez consulter Gérer des utilisateurs et des groupes dans AWS Managed Microsoft AD dans le Guide d'administration d'AWS Directory Service.

Étape 4 : créer ou modifier une instance My SQL DB

Créez ou modifiez une instance My SQL DB à utiliser avec votre annuaire. Vous pouvez utiliser la console ou associer une instance RDS API de base de données à un répertoire. CLI Vous pouvez effectuer cette opération de différentes manières :

L'authentification Kerberos n'est prise en charge que pour les instances My SQL DB dans un. VPC L'instance de base de données peut se trouver dans VPC le même répertoire ou dans un autreVPC. L'instance de base de données doit utiliser un groupe de sécurité qui autorise la sortie dans le répertoire VPC afin que l'instance de base de données puisse communiquer avec le répertoire.

Lorsque vous utilisez la console pour créer, modifier ou restaurer une instance de bases de données, choisissez Password and Kerberos authentication (Mot de passe et authentification Kerberos) dans la section Database authentication (Authentification de base de données). Choisissez Browse Directory (Parcourir les répertoires), puis sélectionnez le répertoire, ou choisissez Create a new directory (Créer un nouveau répertoire).

Lorsque vous utilisez le AWS CLI ou RDSAPI, associez une instance de base de données à un répertoire. Les paramètres suivants sont nécessaires pour que l'instance de base de données utilise l'annuaire du domaine que vous avez créé :

Par exemple, la CLI commande suivante modifie une instance de base de données pour utiliser un répertoire.

Dans Linux, macOS, ou Unix:

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --domain d-ID \
    --domain-iam-role-name role-name
            

Dans Windows:

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --domain d-ID ^
    --domain-iam-role-name role-name 
            

Étape 5 : Création de l'authentification Kerberos Mes identifiants SQL

Utilisez les informations d'identification de l'utilisateur RDS principal Amazon pour vous connecter à l'instance My SQL DB comme vous le feriez pour toute autre instance de base de données. L'instance de base de données est jointe au AWS Managed Microsoft AD domaine. Ainsi, vous pouvez configurer Mes SQL identifiants et utilisateurs à partir des utilisateurs Active Directory de votre domaine. Les autorisations de base de données sont gérées par le biais de la norme Mes SQL autorisations qui sont accordées et révoquées pour ces connexions.

Vous pouvez autoriser un utilisateur d'Active Directory à s'authentifier auprès de MySQL. Pour ce faire, utilisez d'abord les informations d'identification de l'utilisateur RDS principal Amazon pour vous connecter à l'instance My SQL DB comme à toute autre instance de base de données. Une fois connecté, créez un utilisateur authentifié en externe avec PAM (modules d'authentification enfichables) dans My en SQL exécutant la commande suivante. Remplacez testuser par le nom de l'utilisateur.

CREATE USER 'testuser'@'%' IDENTIFIED WITH 'auth_pam';

Les utilisateurs (personnes et applications) de votre domaine peuvent désormais se connecter à l'instance de base de données à partir d'un ordinateur client joint au domaine à l'aide de l'authentification Kerberos.

ALTER USER 'testuser'@'%' REQUIRE SSL;

Gestion d'une instance de base de données dans un domaine

Vous pouvez utiliser le CLI ou le RDS API pour gérer votre instance de base de données et sa relation avec votre Active Directory géré. Par exemple, vous pouvez associer un annuaire Active Directory pour l'authentification Kerberos et dissocier un annuaire Active Directory pour désactiver l'authentification Kerberos. Vous pouvez également transférer une instance de base de données vers une autre afin qu'elle soit authentifiée en externe par un annuaire Active Directory.

Par exemple, à l'aide d'Amazon RDSAPI, vous pouvez effectuer les opérations suivantes :

Présentation de l'appartenance au domaine

Après la création ou la modification de votre instance de base de données, elle devient un membre du domaine. Vous pouvez consulter l'état de l'appartenance au domaine pour l'instance de base de données en exécutant la describe-db-instancesCLIcommande. Le statut de l'instance de base de données peut avoir les valeurs suivantes :

Une demande d'activation de l'authentification Kerberos peut échouer en raison d'un problème de connectivité réseau ou d'un rôle incorrectIAM. Par exemple, supposons que vous créez une instance de base de données ou modifiez une instance de base de données et que la tentative d'activation de l'authentification Kerberos échoue. Si cela se produit, réémettez la commande modify ou modifiez l'instance de base de données nouvellement créée pour joindre le domaine.

Connexion à My SQL avec l'authentification Kerberos

Pour vous connecter à My SQL avec l'authentification Kerberos, vous devez vous connecter à l'aide du type d'authentification Kerberos.

Pour créer un utilisateur de base de données auquel vous pouvez vous connecter à l'aide de l'authentification Kerberos, utilisez une clause IDENTIFIED WITH avec l'instruction CREATE USER. Pour obtenir des instructions, consultez Étape 5 : Création de l'authentification Kerberos Mes identifiants SQL.

Pour éviter les erreurs, utilisez le client mysql MariaDB. Vous pouvez télécharger le logiciel MariaDB à l'adresse https://downloads.mariadb.org/.

À l'invite de commande, connectez-vous à l'un des points de terminaison associés à votre instance My SQL DB. Suivez les procédures générales décrites dans Connexion à une instance de base de données exécutant le moteur My SQL database. Lorsque vous êtes invité à entrer le mot de passe, entrez le mot de passe Kerberos associé à ce nom d'utilisateur.

Restaurer une instance My SQL DB et l'ajouter à un domaine

Vous pouvez restaurer un instantané de base de données ou terminer une point-in-time restauration pour une instance My SQL DB, puis l'ajouter à un domaine. Une fois que l'instance de base de données est restaurée, modifiez l'instance de base de données à l'aide du processus expliqué dans Étape 4 : créer ou modifier une instance My SQL DB afin d'ajouter l'instance de base de données à un domaine.

Authentification Kerberos Mes limites SQL

Les limites suivantes s'appliquent à l'authentification Kerberos pour My : SQL