Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Autenticazione del database con Amazon RDS

Amazon RDS supporta diversi modi per autenticare gli utenti del database.

L'autenticazione tramite password, Kerberos, Active Directory e IAM utilizza diversi metodi di autenticazione al database. Pertanto, un utente specifico può accedere a un database utilizzando un solo metodo di autenticazione.

Per PostgreSQL, utilizza solo una delle seguenti impostazioni di ruolo per un utente di un database specifico:

Non assegnare entrambi i ruoli rds_iam e rds_ad a un utente di un database PostgreSQL direttamente o indirettamente mediante l'accesso di concessione nidificato. Se all'utente master, viene aggiunto il ruolo rds_iam, l'autenticazione IAM ha la precedenza sull'autenticazione con password, quindi l'utente master dovrà accedere come utente IAM.

Autenticazione password

Con autenticazione con password il database esegue tutta l'amministrazione degli account utente. È possibile creare utenti con istruzioni SQL come CREATE USER, con la clausola appropriata richiesta dal motore DB per specificare le password. Ad esempio, in MySQL l'istruzione è CREATE USER name IDENTIFIED BY password, mentre in PostgreSQL, l'istruzione è CREATE USER name WITH PASSWORD password.

Con l'autenticazione con password, il database controlla e autentica gli account utente. Se un motore DB dispone di potenti funzionalità di gestione delle password, può migliorare la sicurezza. L'autenticazione del database potrebbe essere più semplice da amministrare utilizzando l'autenticazione con password quando si dispone di comunità di utenti di piccole dimensioni. Perché in questo caso vengono generate password in chiaro, integrandosi con AWS Secrets Manager può migliorare la sicurezza.

Per informazioni sull’utilizzo di Secrets Manager con Amazon RDS , consulta Creazione di un segreto di base e Rotazione dei segreti per database Amazon RDS supportati nella Guida per l’utente di AWS Secrets Manager . Per informazioni sul recupero a livello di programmazione dei segreti nelle applicazioni personalizzate, consulta Recupero del valore segreto nella Guida per l'utente di AWS Secrets Manager .

Autenticazione del database IAM

Puoi eseguire l’autenticazione nell’istanza database tramite l’autenticazione del database AWS Identity and Access Management (IAM). Con questo metodo di autenticazione, non devi utilizzare una password quando esegui la connessione all’istanza di database. Utilizzi invece un token di autenticazione.

Per ulteriori informazioni sull’autenticazione del database IAM, incluse le informazioni sulla disponibilità per specifici motori di database, consulta Autenticazione del database IAM per MariaDB, MySQL e PostgreSQL.

Autenticazione Kerberos

Amazon RDS supporta l’autenticazione esterna degli utenti dei database con Kerberos e Microsoft Active Directory. Kerberos è un protocollo di autenticazione di rete che utilizza ticket e crittografia a chiave simmetrica eliminando la necessità di scambiare password sulla rete. È stato integrato in Microsoft Active Directory ed è progettato per autenticare gli utenti su risorse di rete, ad esempio i database.

Il supporto Amazon RDS per Kerberos e Active Directory offre i vantaggi del Single Sign-On e dell’autenticazione centralizzata degli utenti dei database. Puoi mantenere le tue credenziali utente in Active Directory. Active Directory fornisce una posizione centralizzata per archiviare e gestire le credenziali per più istanze di database.

Per utilizzare le credenziali del tuo Active Directory autogestito, devi configurare una relazione di fiducia con Servizio di directory per Microsoft Active Directory che il istanza DB è unito a.

RDS per PostgreSQL supporta relazioni di fiducia tra foreste unidirezionali e bidirezionali con autenticazione a livello di foresta o autenticazione selettiva.

In alcuni scenari, è possibile configurare l’autenticazione Kerberos tramite una relazione di trust esterna. Ciò richiede che Active Directory autogestito disponga di impostazioni aggiuntive. Questo include, ad esempio, Kerberos Forest Search Order.

Le istanze database Microsoft SQL Server e PostgreSQL supportano relazioni di trust di foreste unidirezionali e bidirezionali. Le istanze database Oracle supportano relazioni di trust esterne e di foreste unidirezionali e bidirezionali. Per ulteriori informazioni, consulta Quando creare una relazione di trust nella Guida di amministrazione di Servizio di directory .

Per informazioni sull'autenticazione Kerberos con uno specifico motore del database, consulta quanto segue:

autenticazione Active Directory per RDS per MySQL

RDS for MySQL supporta l'autenticazione esterna degli utenti del database tramite Microsoft Active Directory. Ciò consente la gestione centralizzata delle credenziali. È possibile conservare le credenziali utente in Active Directory anziché gestirle separatamente nel database. Usa l'autenticazione Active Directory quando gestisci già gli utenti centralmente in Active Directory e vuoi evitare di mantenere credenziali di database separate.

RDS per MySQL utilizza l'autenticazione Active Directory basata su password tramite PAM (Pluggable Authentication Modules). Quando un utente si connette, il client MySQL richiede la password AD dell'utente. Il client invia quindi la password all'istanza DB. L'istanza DB verifica la password rispetto al dominio Active Directory.

Per istruzioni sulla configurazione dell'autenticazione di Active Directory, comprese le relazioni di trust necessarie per utilizzare le credenziali di un Active Directory autogestito, vedere Utilizzo dell'autenticazione Active Directory per Amazon RDS for MySQL.