Penggunaan Kerberos otentikasi untuk Amazon RDS untuk Microsoft Server SQL

Anda dapat menggunakan otentikasi Kerberos untuk mengautentikasi pengguna saat mereka terhubung ke instans My DB Anda. SQL Instans DB bekerja dengan AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) untuk mengaktifkan otentikasi Kerberos. Ketika pengguna mengautentikasi dengan instans SQL DB Saya bergabung ke domain kepercayaan, permintaan otentikasi diteruskan. Permintaan yang diteruskan pergi ke direktori domain yang Anda buat dengan. AWS Directory Service

Menyimpan semua kredensial Anda di direktori yang sama dapat menghemat waktu dan tenaga Anda. Dengan pendekatan ini, Anda memiliki tempat terpusat guna menyimpan dan mengelola kredensial untuk beberapa instans basis data. Menggunakan direktori juga dapat meningkatkan profil keamanan keseluruhan Anda.

Wilayah dan ketersediaan versi

Ketersediaan dan dukungan fitur bervariasi di seluruh versi spesifik dari setiap mesin basis data, dan di seluruh Wilayah AWS. Untuk informasi selengkapnya tentang versi dan ketersediaan Wilayah Amazon RDS dengan otentikasi Kerberos, lihat. Wilayah dan mesin DB yang Didukung untuk otentikasi Kerberos di Amazon RDS

Ikhtisar Menyiapkan otentikasi Kerberos untuk instans DB Saya SQL

Untuk mengatur otentikasi Kerberos untuk instans My SQL DB, selesaikan langkah-langkah umum berikut, yang dijelaskan lebih detail nanti:

Menyiapkan otentikasi Kerberos untuk instans DB Saya SQL

Anda gunakan AWS Managed Microsoft AD untuk mengatur otentikasi Kerberos untuk instans DB SayaSQL. Untuk menyiapkan autentikasi Kerberos, lakukan langkah-langkah berikut.

Langkah 1: Buat direktori menggunakan AWS Managed Microsoft AD

AWS Directory Service membuat Direktori Aktif yang dikelola sepenuhnya di AWS Cloud. Saat Anda membuat AWS Managed Microsoft AD direktori, AWS Directory Service buat dua pengontrol domain dan server Domain Name System (DNS) atas nama Anda. Server direktori dibuat dalam subnet yang berbeda di file. VPC Redundansi ini membantu memastikan bahwa direktori Anda tetap dapat diakses meskipun terjadi kegagalan.

Saat Anda membuat AWS Managed Microsoft AD direktori, AWS Directory Service lakukan tugas-tugas berikut atas nama Anda:

Saat Anda meluncurkan AWS Managed Microsoft AD, AWS buat Unit Organisasi (OU) yang berisi semua objek direktori Anda. OU ini memiliki BIOS nama Net yang Anda ketik ketika Anda membuat direktori Anda dan terletak di root domain. Root domain dimiliki dan dikelola oleh AWS.

Akun Admin yang dibuat dengan AWS Managed Microsoft AD direktori Anda memiliki izin untuk kegiatan administratif yang paling umum untuk OU Anda:

Akun Admin juga memiliki hak melakukan aktivitas-aktivitas selingkup domain berikut:

Dibutuhkan beberapa menit sampai direktori terbuat. Setelah direktori berhasil dibuat, nilai Status berubah menjadi Aktif.

Untuk melihat informasi tentang direktori Anda, pilih nama direktori di daftar direktori. Perhatikan nilai ID Direktori karena Anda memerlukan nilai ini saat membuat atau memodifikasi instans My SQL DB Anda.

Langkah 2: Buat IAM peran untuk digunakan oleh Amazon RDS

RDSAgar Amazon dapat memanggil AWS Directory Service Anda, diperlukan IAM peran yang menggunakan IAM kebijakan AmazonRDSDirectoryServiceAccess terkelola. Peran ini memungkinkan Amazon RDS untuk melakukan panggilan ke AWS Directory Service.

Ketika instans DB dibuat menggunakan AWS Management Console dan pengguna konsol memiliki iam:CreateRole izin, konsol membuat peran ini secara otomatis. Dalam hal ini, nama perannya adalah rds-directoryservice-kerberos-access-role. Jika tidak, Anda harus membuat IAM peran secara manual. Saat Anda membuat IAM peran ini, pilihDirectory Service, dan lampirkan kebijakan AWS terkelola AmazonRDSDirectoryServiceAccess padanya.

Untuk informasi selengkapnya tentang membuat IAM peran untuk layanan, lihat Membuat peran untuk mendelegasikan izin ke AWS layanan di IAMPanduan Pengguna.

Secara opsional, Anda dapat membuat kebijakan dengan izin yang diperlukan alih-alih menggunakan kebijakan terkelolaIAM. AmazonRDSDirectoryServiceAccess Dalam hal ini, IAM peran harus memiliki kebijakan IAM kepercayaan berikut.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Peran tersebut juga harus memiliki kebijakan IAM peran berikut.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Langkah 3: Buat dan konfigurasikan pengguna

Anda dapat membuat pengguna dengan alat Active Directory Users and Computers. Alat ini bagian dari alat-alat Active Directory Domain Services dan Active Directory Lightweight Directory Services. Pengguna mewakili orang atau entitas individual yang memiliki akses ke direktori Anda.

Untuk membuat pengguna di AWS Directory Service direktori, Anda harus terhubung ke EC2 instans Amazon berdasarkan Microsoft Windows. Instance ini harus menjadi anggota AWS Directory Service direktori dan masuk sebagai pengguna yang memiliki hak istimewa untuk membuat pengguna. Untuk informasi selengkapnya, lihat Mengelola pengguna dan grup di AWS Managed Microsoft AD di Panduan Administrasi Layanan Direktori AWS .

Langkah 4: Membuat atau memodifikasi instans My SQL DB

Buat atau modifikasi instance My SQL DB untuk digunakan dengan direktori Anda. Anda dapat menggunakan konsol,CLI, atau RDS API untuk mengaitkan instance DB dengan direktori. Anda dapat melakukannya dengan salah satu cara berikut:

Otentikasi Kerberos hanya didukung untuk instans SQL DB Saya di file. VPC Instans DB bisa VPC sama dengan direktori, atau berbedaVPC. Instans DB harus menggunakan grup keamanan yang memungkinkan jalan keluar dalam direktori VPC sehingga instans DB dapat berkomunikasi dengan direktori.

Saat Anda menggunakan konsol untuk membuat, memodifikasi, atau memulihkan instans DB, pilih Autentikasi kata sandi dan Kerberos di bagian Autentikasi basis data. Pilih Jelajah Direktori, lalu pilih direktori, atau pilih Buat direktori baru.

Saat Anda menggunakan AWS CLI or RDSAPI, kaitkan instance DB dengan direktori. Parameter-parameter berikut diperlukan bagi instans basis data untuk menggunakan direktori domain yang Anda buat:

Misalnya, CLI perintah berikut memodifikasi instance DB untuk menggunakan direktori.

Untuk Linux, macOS, atau Unix:

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --domain d-ID \
    --domain-iam-role-name role-name
            

Untuk Windows:

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --domain d-ID ^
    --domain-iam-role-name role-name 
            

Langkah 5: Buat otentikasi Kerberos Login saya SQL

Gunakan kredensyal pengguna RDS master Amazon untuk terhubung ke instans SQL DB Saya seperti yang Anda lakukan pada instans DB lainnya. Instans DB bergabung ke AWS Managed Microsoft AD domain. Dengan demikian, Anda dapat menyediakan SQL login dan pengguna saya dari pengguna Active Directory di domain Anda. Izin database dikelola melalui SQL izin Saya standar yang diberikan dan dicabut dari login ini.

Anda dapat mengizinkan pengguna Active Directory untuk mengautentikasi dengan MySQL. Untuk melakukan ini, pertama-tama gunakan kredensyal pengguna RDS master Amazon untuk terhubung ke instans SQL DB Saya seperti halnya instans DB lainnya. Setelah Anda masuk, buat pengguna yang diautentikasi secara eksternal dengan PAM (Pluggable Authentication Modules) di My SQL dengan menjalankan perintah berikut. Ganti testuser dengan nama pengguna.

CREATE USER 'testuser'@'%' IDENTIFIED WITH 'auth_pam';

Pengguna (baik orang maupun aplikasi) dari domain Anda kini dapat menghubungi instans basis data dari mesin klien yang digabungkan dengan domain dengan menggunakan autentikasi Kerberos.

ALTER USER 'testuser'@'%' REQUIRE SSL;

Mengelola instans basis data dalam domain

Anda dapat menggunakan CLI atau RDS API untuk mengelola instans DB Anda dan hubungannya dengan Direktori Aktif terkelola Anda. Misalnya, Anda dapat mengaitkan Active Directory untuk autentikasi Kerberos dan melepaskan Active Directory untuk menonaktifkan autentikasi Kerberos. Anda juga dapat memindahkan instans basis data agar diautentikasi secara eksternal oleh satu Active Directory ke yang lain.

Misalnya, menggunakan Amazon RDSAPI, Anda dapat melakukan hal berikut:

Memahami keanggotaan domain

Setelah Anda membuat atau mengubah instans basis data, instans akan menjadi anggota domain. Anda dapat melihat status keanggotaan domain untuk instans DB dengan menjalankan describe-db-instancesCLIperintah. Status instans DB dapat berupa salah satu dari daftar berikut:

Permintaan untuk mengaktifkan otentikasi Kerberos dapat gagal karena masalah konektivitas jaringan atau peran yang salah. IAM Misalnya, anggap bahwa Anda membuat instans basis data atau mengubah instans basis data yang sudah ada dan upaya mengaktifkan autentikasi Kerberos gagal. Jika ini terjadi, terbitkan ulang perintah pengubahan atau ubah instans basis data yang baru dibuat untuk bergabung dengan domain.

Menghubungkan ke My SQL dengan otentikasi Kerberos

Untuk terhubung ke My SQL dengan otentikasi Kerberos, Anda harus masuk menggunakan jenis otentikasi Kerberos.

Untuk membuat pengguna basis data yang dapat Anda hubungi dengan menggunakan autentikasi Kerberos, gunakan klausul IDENTIFIED WITH pada pernyataan CREATE USER. Lihat petunjuk di Langkah 5: Buat otentikasi Kerberos Login saya SQL.

Untuk menghindari kesalahan, gunakan klien mysql MariaDB. Anda dapat mengunduh perangkat lunak MariaDB di https://downloads.mariadb.org/.

Pada prompt perintah, sambungkan ke salah satu titik akhir yang terkait dengan instans My SQL DB Anda. Ikuti prosedur-prosedur umum dalam Menghubungkan ke instans DB yang menjalankan mesin SQL database Saya. Saat Anda diminta untuk memasukkan kata sandi, masukkan kata sandi Kerberos yang terkait dengan nama penggunanya.

Memulihkan instans SQL DB Saya dan menambahkannya ke domain

Anda dapat memulihkan snapshot DB atau menyelesaikan point-in-time pemulihan untuk instans SQL DB Saya dan kemudian menambahkannya ke domain. Setelah instans basis data dipulihkan, ubah instans itu dengan menggunakan proses yang dijelaskan dalam Langkah 4: Membuat atau memodifikasi instans My SQL DB untuk menambahkannya ke domain.

Otentikasi Kerberos Keterbatasan saya SQL

Batasan berikut berlaku untuk otentikasi Kerberos untuk My: SQL