Utilisation de l'authentification Kerberos avec AWS Database Migration Service

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

À partir de DMS v3.5.3, vous pouvez configurer votre point de terminaison source Oracle ou SQL Server pour qu'il se connecte à votre instance de base de données à l'aide de l'authentification Kerberos. DMS prend en charge AWS Directory Service l'authentification Microsoft Active Directory et Kerberos. Pour plus d'informations sur l'accès AWS géré aux services Microsoft Active Directory, voir Qu'est-ce que c'est ? AWS Directory Service .

AWS DMS Présentation de l'architecture d'authentification Kerberos

Le schéma suivant fournit une vue d'ensemble du flux de travail d'authentification AWS DMS Kerberos.

Limitations relatives à l'utilisation de l'authentification Kerberos avec AWSAWS DMS

Les limites suivantes s'appliquent lors de l'utilisation de l'authentification Kerberos avec : AWS AWS DMS

Prérequis

Pour commencer, vous devez remplir les conditions préalables suivantes à partir d'un hôte authentifié Active Directory ou Kerberos existant :

L'exemple suivant montre une politique de rôle IAM avec le Secrets Manager GetSecretValue et DescribeSecret les autorisations. La <keycache_secretsmanager_arn> valeur est l'ARN du Keycache Secrets Manager que vous avez créé à l'étape précédente.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": [
                <keycache_secretsmanager_arn>
            ]
        }
    ]
}

Activation de la prise en charge de Kerberos sur une instance de réplication AWS DMS

Les domaines Kerberos sont identiques aux domaines de Windows. Pour résoudre un domaine principal, Kerberos s'appuie sur un service de noms de domaine (DNS). Lorsque vous définissez le dns-name-servers paramètre, votre instance de réplication utilise votre ensemble personnalisé prédéfini de serveurs DNS pour résoudre les domaines de domaine Kerberos. Une autre option pour résoudre les requêtes de domaine Kerberos consiste à configurer Amazon Route 53 sur le cloud privé virtuel (VPC) de l'instance de réplication. Pour plus d'informations, consultez Route 53.

Activation de la prise en charge de Kerberos sur une instance de réplication DMS à l'aide du AWS Management Console

Pour activer le support Kerberos à l'aide de la console, entrez les informations suivantes dans la section Authentification Kerberos de la page Créer une instance de réplication ou Modifier une instance de réplication :

Activation de la prise en charge de Kerberos sur une instance de réplication DMS à l'aide du AWS CLI

L' AWS CLI exemple d'appel suivant crée une instance de réplication DMS privée compatible avec Kerberos. L'instance de réplication utilise un DNS personnalisé pour résoudre le domaine Kerberos. Pour de plus amples informations, veuillez consulter create-replication-instance.

aws dms create-replication-instance 
--replication-instance-identifier my-replication-instance 
--replication-instance-class dms.t2.micro 
--allocated-storage 50 
--vpc-security-group-ids sg-12345678 
--engine-version 3.5.4 
--no-auto-minor-version-upgrade 
--kerberos-authentication-settings'{"KeyCacheSecretId":<secret-id>,"KeyCacheSecretIamArn":<secret-iam-role-arn>,"Krb5FileContents":<krb5.conf file contents>}'
--dns-name-servers <custom dns server>
--no-publicly-accessible

Activation de la prise en charge de Kerberos sur un point de terminaison source

Avant d'activer l'authentification Kerberos sur un point de terminaison source DMS Oracle ou SQL Server, assurez-vous de pouvoir vous authentifier auprès de la base de données source à l'aide du protocole Kerberos depuis un ordinateur client. Vous pouvez utiliser l'AMI AWS DMS de diagnostic pour lancer une EC2 instance Amazon sur le même VPC que l'instance de réplication, puis tester l'authentification Kerberos. Pour plus d'informations sur l'AMI, consultezUtilisation de l'AMI d'assistance au AWS DMS diagnostic.

Utilisation de la AWS console DMS

Sous Accès à la base de données des terminaux, sélectionnez Authentification Kerberos.

À l'aide du AWS CLI

Spécifiez le paramètre de réglage du point de terminaison et définissez AuthenticationMethod l'option comme Kerberos. Par exemple :

Oracle

aws dms create-endpoint 
--endpoint-identifier my-endpoint 
--endpoint-type source 
--engine-name oracle 
--username dmsuser@MYDOMAIN.ORG 
--server-name mydatabaseserver 
--port 1521 
--database-name mydatabase  
--oracle-settings "{\"AuthenticationMethod\": \"kerberos\"}"

SQL Server

aws dms create-endpoint 
--endpoint-identifier my-endpoint 
--endpoint-type source 
--engine-name sqlserver 
--username dmsuser@MYDOMAIN.ORG 
--server-name mydatabaseserver 
--port 1433
--database-name mydatabase  
--microsoft-sql-server-settings "{\"AuthenticationMethod\": \"kerberos\"}"

Test d'un point de terminaison source

Vous devez tester le point de terminaison compatible Kerberos par rapport à une instance de réplication compatible Kerberos. Lorsque vous ne configurez pas correctement l'instance de réplication ou le point de terminaison source pour l'authentification Kerberos, l'test-connectionaction du point de terminaison échoue et peut renvoyer des erreurs liées à Kerberos. Pour plus d'informations, consultez la section test-connection.