Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione Kerberos autenticazione per istanze database Amazon RDS for Db2

Si usa AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) per configurare Kerberos autenticazione per un'istanza DB RDS for Db2. Per configurare Kerberos autenticazione, segui questi passaggi:

Passaggio 1: creare una directory utilizzando AWS Managed Microsoft AD

AWS Directory Service crea un file completamente gestito Active Directory nel Cloud AWS. Quando si AWS Directory Service crea una AWS Managed Microsoft AD directory, vengono creati automaticamente due controller di dominio e DNS server. I server di directory vengono creati in diverse sottoreti in un. VPC Questa ridondanza assicura che la directory rimanga accessibile anche se si verifica un errore.

Quando crei una AWS Managed Microsoft AD directory, AWS Directory Service esegue le seguenti attività per tuo conto:

All'avvio AWS Directory Service for Microsoft Active Directory, AWS crea un'unità organizzativa (OU) che contiene tutti gli oggetti della directory. Questa unità organizzativa, con il BIOS nome di rete immesso al momento della creazione della directory, si trova nella radice del dominio. La radice del dominio è di proprietà e gestita da AWS.

L'Adminaccount creato con la AWS Managed Microsoft AD directory dispone delle autorizzazioni per le attività amministrative più comuni dell'unità organizzativa:

L'account Admin dispone anche dei diritti per eseguire queste attività in tutto il dominio:

Per creare la directory sono necessari alcuni minuti. Una volta creata correttamente la directory, il valore Status (Stato) viene modificato in Active (Attivo).

Per visualizzare le informazioni sulla tua directory, scegli l'ID della directory in Directory ID. Prendere nota del valore Directory ID (ID directory). Questo valore è necessario quando si crea o si modifica l'istanza DB RDS for Db2.

Passaggio 2: crea un IAM ruolo a RDS cui Amazon può accedere AWS Directory Service

RDSAffinché Amazon possa AWS Directory Service chiamarti, hai Account AWS bisogno di un IAM ruolo che utilizzi la IAM policy gestitaAmazonRDSDirectoryServiceAccess. Questo ruolo consente RDS ad Amazon di effettuare chiamate verso AWS Directory Service.

Quando crei un'istanza DB utilizzando AWS Management Console e il tuo account utente della console dispone dell'iam:CreateRoleautorizzazione, la console crea automaticamente il IAM ruolo necessario. In questo caso, il nome del ruolo è rds-directoryservice-kerberos-access-role. In caso contrario, è necessario creare il IAM ruolo manualmente. Quando create questo IAM ruoloDirectory Service, scegliete e allegate AmazonRDSDirectoryServiceAccess ad esso la politica AWS gestita.

Per ulteriori informazioni sulla creazione di IAM ruoli per un servizio, consulta Creazione di un ruolo per delegare le autorizzazioni a un AWS servizio nella Guida per l'IAMutente.

Facoltativamente, puoi creare policy con le autorizzazioni richieste anziché utilizzare la policy AmazonRDSDirectoryServiceAccess gestita. In questo caso, il IAM ruolo deve avere la seguente politica di IAM fiducia:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Il ruolo deve inoltre avere la seguente politica di IAM ruolo:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Fase 3: creazione e configurazione di utenti

È possibile creare utenti utilizzando Active Directory Users and Computers strumento. Questo è uno dei Active Directory Domain Services e Active Directory Lightweight Directory Services strumenti. Per ulteriori informazioni, vedere Aggiungere utenti e computer al Active Directory dominio in Microsoft documentazione. In questo caso, gli utenti sono individui o altre entità, come i loro computer, che fanno parte del dominio e le cui identità vengono mantenute nella directory.

Per creare utenti in una AWS Directory Service directory, è necessario essere connessi a WindowsEC2istanza Amazon basata su Amazon che fa parte della AWS Directory Service directory. Allo stesso tempo, devi accedere come utente con privilegi per creare utenti. Per ulteriori informazioni, consulta Creazione di un utente nella Guida di amministrazione di AWS Directory Service .

Passaggio 4: Crea un gruppo di amministrazione RDS per Db2 in AWS Managed Microsoft AD

RDSperché Db2 non supporta Kerberos autenticazione per l'utente principale o i due utenti RDS riservati di Amazon rdsdb erdsadmin. È invece necessario creare un nuovo gruppo chiamato masterdba in AWS Managed Microsoft AD. Per ulteriori informazioni, consulta Creare un account di gruppo in Active Directorynel Microsoft documentazione. Tutti gli utenti aggiunti a questo gruppo disporranno dei privilegi di utente principale.

Dopo aver abilitato Kerberos autenticazione, l'utente principale perde il masterdba ruolo. Di conseguenza, l'utente principale non sarà in grado di accedere all'appartenenza al gruppo di utenti locali dell'istanza a meno che non venga disabilitata Kerberos autenticazione. Per continuare a utilizzare l'utente master con accesso tramite password, crea un utente AWS Managed Microsoft AD con lo stesso nome dell'utente principale. Quindi, aggiungi quell'utente al gruppomasterdba.

Passaggio 5: creare o modificare un'istanza di RDS For Db2 DB

Crea o modifica un'istanza DB RDS for Db2 da utilizzare con la tua directory. È possibile utilizzare il AWS Management Console AWS CLI, il o il RDS API per associare un'istanza DB a una directory. Questa operazione può essere eseguita in uno dei seguenti modi:

Kerberos l'autenticazione è supportata solo RDS per le istanze DB Db2 in a. VPC L'istanza DB può trovarsi nella VPC stessa directory o in un'altra. VPC L'istanza DB deve utilizzare un gruppo di sicurezza che consenta l'ingresso e l'uscita all'interno della directory VPC in modo che l'istanza DB possa comunicare con la directory.

Fase 6: Configurazione di un client Db2

L'esempio seguente è il contenuto del file /etc/krb5.conf per: AWS Managed Microsoft AD

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM