Utilizzo Kerberos autenticazione per Amazon RDS per Microsoft SQL Server

Puoi utilizzare l'autenticazione Kerberos per autenticare gli utenti quando si connettono alla tua istanza My DB. SQL L'istanza DB funziona con AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) per abilitare l'autenticazione Kerberos. Quando gli utenti si autenticano con un'istanza My SQL DB aggiunta al dominio trusting, le richieste di autenticazione vengono inoltrate. Le richieste inoltrate vanno alla directory del dominio con cui crei. AWS Directory Service

Mantenere tutte le credenziali nella stessa directory consente di ridurre il tempo e l'impegno. Con questo approccio, è disponibile una posizione centralizzata per archiviare e gestire le credenziali per più istanze database. L'uso di una directory può inoltre migliorare il profilo di sicurezza complessivo.

Disponibilità di regioni e versioni

Il supporto varia a seconda delle versioni specifiche di ciascun motore di database e a seconda delle Regioni AWS. Per ulteriori informazioni sulla disponibilità della versione e della regione di Amazon RDS con autenticazione Kerberos, consulta. Regioni e motori DB supportati per l'autenticazione Kerberos in Amazon RDS

Panoramica della configurazione dell'autenticazione Kerberos per le istanze My DB SQL

Per configurare l'autenticazione Kerberos per un'istanza My SQL DB, completa i seguenti passaggi generali, descritti più dettagliatamente in seguito:

Configurazione dell'autenticazione Kerberos per le istanze My DB SQL

Si utilizza AWS Managed Microsoft AD per configurare l'autenticazione Kerberos per un'istanza My DB. SQL Per configurare l'autenticazione Kerberos, completa la procedura seguente.

Passaggio 1: creare una directory utilizzando AWS Managed Microsoft AD

AWS Directory Service crea una Active Directory completamente gestita nel AWS cloud. Quando crei una AWS Managed Microsoft AD directory, AWS Directory Service crea due controller di dominio e server Domain Name System (DNS) per tuo conto. I server di directory vengono creati in diverse sottoreti in un. VPC Questa ridondanza assicura che la directory rimanga accessibile anche se si verifica un errore.

Quando crei una AWS Managed Microsoft AD directory, AWS Directory Service esegue le seguenti attività per tuo conto:

Quando si avvia un AWS Managed Microsoft AD, AWS crea un'unità organizzativa (OU) che contiene tutti gli oggetti della directory. Questa unità organizzativa ha il BIOS nome di rete digitato al momento della creazione della directory e si trova nella radice del dominio. La radice del dominio è di proprietà e gestita da AWS.

L'account amministratore creato con la AWS Managed Microsoft AD directory dispone delle autorizzazioni per le attività amministrative più comuni dell'unità organizzativa:

L'account Admin dispone inoltre dei diritti per eseguire le seguenti attività estese a tutto il dominio:

Per creare la directory sono necessari alcuni minuti. Una volta creata correttamente la directory, il valore Status (Stato) viene modificato in Active (Attivo).

Per consultare le informazioni sulla directory, selezionare il nome della directory nell'elenco di directory. Nota il valore Directory ID perché è necessario questo valore quando crei o modifichi l'istanza My SQL DB.

Passaggio 2: creare il IAM ruolo per l'utilizzo da parte di Amazon RDS

RDSAffinché Amazon ti AWS Directory Service chiami, AmazonRDSDirectoryServiceAccess è necessario un IAM ruolo che utilizzi la IAM policy gestita. Questo ruolo consente RDS ad Amazon di effettuare chiamate verso AWS Directory Service.

Quando un'istanza DB viene creata utilizzando AWS Management Console e l'utente della console dispone dell'iam:CreateRoleautorizzazione, la console crea questo ruolo automaticamente. In questo caso, il nome del ruolo è rds-directoryservice-kerberos-access-role. Altrimenti, è necessario creare il IAM ruolo manualmente. Quando create questo IAM ruoloDirectory Service, scegliete e allegate AmazonRDSDirectoryServiceAccess ad esso la politica AWS gestita.

Per ulteriori informazioni sulla creazione di IAM ruoli per un servizio, consulta Creazione di un ruolo per delegare le autorizzazioni a un AWS servizio nella Guida per l'IAMutente.

Facoltativamente, è possibile creare politiche con le autorizzazioni richieste anziché utilizzare la politica gestitaIAM. AmazonRDSDirectoryServiceAccess In questo caso, il IAM ruolo deve avere la seguente politica di IAM attendibilità.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

Il ruolo deve inoltre avere la seguente politica di IAM ruolo.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

Fase 3: creazione e configurazione di utenti

È possibile creare utenti con lo strumento Utenti Active Directory e computer. Questo strumento fa parte degli strumenti Active Directory Domain Services e Active Directory Lightweight Directory Services. Gli utenti possono essere individui singoli o entità che hanno accesso alla tua directory.

Per creare utenti in una AWS Directory Service directory, devi essere connesso a un'EC2istanza Amazon basata su Microsoft Windows. Questa istanza deve essere un membro della AWS Directory Service directory ed essere connessa come utente con privilegi per creare utenti. Per ulteriori informazioni, consulta Gestione di utenti e gruppi in AWS Managed Microsoft AD nella AWS Directory Service - Guida di amministrazione.

Fase 4: Creare o modificare un'istanza My DB SQL

Crea o modifica un'istanza My SQL DB da utilizzare con la tua directory. È possibile utilizzare la console o associare un'istanza DB RDS API a una directory. CLI Questa operazione può essere eseguita in uno dei seguenti modi:

L'autenticazione Kerberos è supportata solo per le istanze My SQL DB in a. VPC L'istanza DB può trovarsi nella VPC stessa directory o in un'altra. VPC L'istanza DB deve utilizzare un gruppo di sicurezza che consenta l'uscita all'interno della directory VPC in modo che l'istanza DB possa comunicare con la directory.

Quando utilizzi la console per creare, modificare o ripristinare un'istanza database, scegli Password e autenticazione Kerberos nella sezione Autenticazione database. Scegli Browse Directory (Sfoglia directory) quindi seleziona la directory oppure scegli Create a new directory (Crea una nuova directory).

Quando usi AWS CLI o RDSAPI, associa un'istanza DB a una directory. Per consentire all'istanza database di utilizzare la directory del dominio che hai creato, sono necessari i seguenti parametri:

Ad esempio, il CLI comando seguente modifica un'istanza DB per utilizzare una directory.

In Linux, macOS, oppure Unix:

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --domain d-ID \
    --domain-iam-role-name role-name
            

In Windows:

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --domain d-ID ^
    --domain-iam-role-name role-name 
            

Fase 5: Creare l'autenticazione Kerberos I miei accessi SQL

Utilizza le credenziali dell'utente RDS master Amazon per connetterti all'istanza My SQL DB come fai con qualsiasi altra istanza DB. L'istanza DB viene aggiunta al AWS Managed Microsoft AD dominio. Pertanto, puoi fornire i miei SQL dati di accesso e i miei utenti dagli utenti di Active Directory del tuo dominio. Le autorizzazioni del database sono gestite tramite SQL le autorizzazioni My standard concesse e revocate da questi accessi.

È possibile consentire a un utente di Active Directory di autenticarsi con My. SQL A tale scopo, utilizza innanzitutto le credenziali dell'utente RDS master Amazon per connetterti all'istanza My SQL DB come con qualsiasi altra istanza DB. Dopo aver effettuato l'accesso, crea un utente autenticato esternamente con PAM (Pluggable Authentication Modules) in My eseguendo il seguente comando. SQL Sostituire testuser con il nome utente.

CREATE USER 'testuser'@'%' IDENTIFIED WITH 'auth_pam';

Gli utenti (persone e applicazioni) del dominio possono ora connettersi all'istanza database da un computer client associato al dominio utilizzando l'autenticazione Kerberos.

ALTER USER 'testuser'@'%' REQUIRE SSL;

Gestione di un'istanza database in un dominio

Puoi usare CLI o the RDS API per gestire l'istanza DB e la sua relazione con l'Active Directory gestita. Ad esempio, è possibile associare un'autenticazione di Active Directory per Kerberos e annullare l'associazione di una Active Directory per disabilitare l'autenticazione Kerberos. Puoi anche spostare un'istanza database affinché venga autenticata esternamente da una Microsoft Active Directory a un'altra.

Ad esempio, utilizzando Amazon RDSAPI, puoi fare quanto segue:

Appartenenza al dominio

Quando l'istanza database viene creata o modificata diventa membro del dominio. È possibile visualizzare lo stato dell'appartenenza al dominio per l'istanza DB eseguendo il describe-db-instancesCLIcomando. Lo stato dell'istanza di database può essere uno dei seguenti:

Una richiesta di attivazione dell'autenticazione Kerberos può avere esito negativo a causa di un problema di connettività di rete o di un ruolo errato. IAM Ad esempio, si supponga di creare un'istanza database o di modificare un'istanza database esistente e il tentativo di attivare l'autenticazione Kerberos non riesce. In questo caso, eseguire nuovamente il comando di modifica o modificare l'istanza database appena creata per l'aggiunta al dominio.

Connessione a My SQL con autenticazione Kerberos

Per connettersi a My SQL con autenticazione Kerberos, è necessario accedere utilizzando il tipo di autenticazione Kerberos.

Per creare un utente di database a cui è possibile connettersi utilizzando l'autenticazione Kerberos, utilizzare una clausola IDENTIFIED WITH sull'istruzione CREATE USER. Per istruzioni, consulta Fase 5: Creare l'autenticazione Kerberos I miei accessi SQL.

Per evitare errori, utilizzare il client mysql MariaDB. È possibile scaricare il software MariaDB all'indirizzo https://downloads.mariadb.org/.

Al prompt dei comandi, connettiti a uno degli endpoint associati alla tua istanza My DB. SQL Seguire le procedure generali descritte in Connessione a un'istanza DB che esegue il motore di SQL database My. Quando viene richiesta la password, immettere la password Kerberos associata al nome utente.

Ripristino di un'istanza My SQL DB e aggiunta a un dominio

È possibile ripristinare uno snapshot DB o completare un point-in-time ripristino per un'istanza My SQL DB e quindi aggiungerla a un dominio. Dopo aver ripristinato l'istanza database, modificarla utilizzando il processo illustrato in Fase 4: Creare o modificare un'istanza My DB SQL per aggiungere l'istanza database a un dominio.

Autenticazione Kerberos Le mie limitazioni SQL

Le seguenti limitazioni si applicano all'autenticazione Kerberos for My: SQL