Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengatur Kerberos otentikasi untuk Amazon RDS untuk instans Db2 DB

Anda menggunakan AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) untuk mengatur Kerberos otentikasi RDS untuk instance Db2 DB. Untuk mengatur Kerberos otentikasi, ikuti langkah-langkah ini:

Langkah 1: Buat direktori menggunakan AWS Managed Microsoft AD

AWS Directory Service menciptakan yang terkelola sepenuhnya Active Directory di AWS Cloud. Saat Anda membuat AWS Managed Microsoft AD direktori, AWS Directory Service buat dua pengontrol domain dan DNS server untuk Anda. Server direktori dibuat dalam subnet yang berbeda di file. VPC Redundansi ini membantu memastikan bahwa direktori Anda tetap dapat diakses meskipun terjadi kegagalan.

Saat Anda membuat AWS Managed Microsoft AD direktori, AWS Directory Service lakukan tugas-tugas berikut atas nama Anda:

Saat Anda meluncurkan AWS Directory Service for Microsoft Active Directory, AWS buat unit organisasi (OU) yang berisi semua objek direktori Anda. OU ini, yang memiliki BIOS nama Net yang Anda masukkan ketika Anda membuat direktori Anda, terletak di root domain. Root domain dimiliki dan dikelola oleh AWS.

AdminAkun yang dibuat dengan AWS Managed Microsoft AD direktori Anda memiliki izin untuk kegiatan administratif yang paling umum untuk OU Anda:

Akun Admin juga memiliki hak untuk melakukan aktivitas di seluruh domain berikut:

Dibutuhkan beberapa menit sampai direktori terbuat. Setelah direktori berhasil dibuat, nilai Status berubah menjadi Aktif.

Untuk melihat informasi tentang direktori Anda, pilih ID direktori di ID Direktori. Buat catatan tentang nilai ID Direktori. Anda memerlukan nilai ini saat Anda membuat atau memodifikasi instans Db2 DB AndaRDS.

Langkah 2: Buat IAM peran bagi Amazon RDS untuk mengakses AWS Directory Service

RDSAgar Amazon dapat memanggil AWS Directory Service Anda, Anda Akun AWS memerlukan IAM peran yang menggunakan IAM kebijakan terkelolaAmazonRDSDirectoryServiceAccess. Peran ini memungkinkan Amazon RDS untuk melakukan panggilan ke AWS Directory Service.

Saat Anda membuat instans DB menggunakan AWS Management Console dan akun pengguna konsol Anda memiliki iam:CreateRole izin, konsol akan membuat IAM peran yang diperlukan secara otomatis. Dalam hal ini, nama perannya adalah rds-directoryservice-kerberos-access-role. Jika tidak, Anda harus membuat IAM peran secara manual. Saat Anda membuat IAM peran ini, pilihDirectory Service, dan lampirkan kebijakan AWS terkelola AmazonRDSDirectoryServiceAccess padanya.

Untuk informasi selengkapnya tentang membuat IAM peran untuk layanan, lihat Membuat peran untuk mendelegasikan izin ke AWS layanan di IAMPanduan Pengguna.

Sebagai alternatif untuk menggunakan kebijakan terkelola AmazonRDSDirectoryServiceAccess, Anda dapat membuat kebijakan dengan izin yang diperlukan. Dalam hal ini, IAM peran harus memiliki kebijakan IAM kepercayaan berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Peran tersebut juga harus memiliki kebijakan IAM peran berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Langkah 3: Buat dan konfigurasikan pengguna

Anda dapat membuat pengguna dengan menggunakan Active Directory Users and Computers alat. Ini adalah salah satu Active Directory Domain Services and Active Directory Lightweight Directory Services alat. Untuk informasi selengkapnya, lihat Menambahkan Pengguna dan Komputer ke Active Directory Domain di Microsoft dokumentasi. Dalam hal ini, pengguna adalah orang atau entitas lain, seperti komputer, yang merupakan bagian dari domain dan yang identitasnya dipelihara di dalam direktori.

Untuk membuat pengguna di AWS Directory Service direktori, Anda harus terhubung ke Windowsberbasis Amazon EC2 instance yang merupakan anggota AWS Directory Service direktori. Pada saat yang sama, Anda harus masuk sebagai pengguna yang memiliki privilese membuat pengguna. Lihat informasi yang lebih lengkap di Membuat pengguna dalam Panduan Administrasi AWS Directory Service .

Langkah 4: Buat grup admin RDS untuk Db2 di AWS Managed Microsoft AD

RDSuntuk Db2 tidak mendukung Kerberos otentikasi untuk pengguna utama atau dua pengguna yang RDS dicadangkan Amazon rdsdb danrdsadmin. Sebagai gantinya, Anda perlu membuat grup baru yang dipanggil masterdba AWS Managed Microsoft AD. Untuk informasi selengkapnya, lihat Membuat Akun Grup di Active Directorydi Microsoft dokumentasi. Semua pengguna yang Anda tambahkan ke grup ini akan memiliki privilese pengguna master.

Setelah Anda mengaktifkan Kerberos otentikasi, pengguna master kehilangan masterdba peran. Akibatnya, pengguna master tidak akan dapat mengakses keanggotaan grup pengguna lokal instance kecuali Anda menonaktifkannya Kerberos otentikasi. Untuk terus menggunakan pengguna master dengan login kata sandi, buat pengguna di AWS Managed Microsoft AD dengan nama yang sama dengan pengguna master. Lalu, tambahkan pengguna itu ke grup masterdba.

Langkah 5: Buat atau modifikasi RDS untuk instans Db2 DB

Membuat atau memodifikasi instans Db2 DB untuk digunakan dengan direktori Anda. RDS Anda dapat menggunakan AWS Management Console, the AWS CLI, atau RDS API untuk mengaitkan instance DB dengan direktori. Anda dapat melakukannya dengan salah satu cara berikut:

Kerberos otentikasi hanya didukung RDS untuk instans Db2 DB di file. VPC Instans DB bisa VPC sama dengan direktori, atau berbedaVPC. Instans DB harus menggunakan grup keamanan yang memungkinkan masuknya dan keluar dalam direktori VPC sehingga instance DB dapat berkomunikasi dengan direktori.

Langkah 6: Konfigurasikan klien Db2

Contoh berikut adalah /etc/krb5.conf konten file untuk: AWS Managed Microsoft AD

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM