Gestione di un'istanza database in un dominio - Amazon Relational Database Service
Appartenenza dominioChiavi Kerberos con rotazione forzata

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Gestione di un'istanza database in un dominio

Puoi utilizzare la console, la CLI o l'API RDS per gestire l'istanza database e la sua relazione con Microsoft Active Directory. Ad esempio, puoi associare una Microsoft Active Directory per abilitare l'autenticazione Kerberos. Puoi anche annullare l'associazione di una Microsoft Active Directory per disabilitare l'autenticazione Kerberos. Puoi anche spostare un'istanza database affinché venga autenticata esternamente da una Microsoft Active Directory a un'altra.

Ad esempio, utilizzando la CLI, puoi effettuare quanto segue:

  • Per tentare nuovamente di abilitare Autenticazione Kerberos per un'appartenenza non riuscita, utilizza il comando CLI modify-db-instance e specifica l'ID directory dell'appartenenza corrente per l'opzione --domain.

  • Per disabilitare Autenticazione Kerberos su un'istanza database, utilizza il comando CLI modify-db-instance e specifica none per l'opzione --domain.

  • Per spostare un'istanza database da un dominio a un altro, utilizza il comando CLI modify-db-instance e specifica l'identificatore di dominio del nuovo dominio per l'opzione --domain.

Visualizzazione dello stato dell'appartenenza al dominio

Quando l'istanza database viene creata o modificata, questa diventa membro del dominio. Puoi visualizzare lo stato dell'appartenenza al dominio per l'istanza database nella console eseguendo il comando CLI describe-db-instances. Lo stato dell'istanza di database può essere uno dei seguenti:

  • kerberos-enabled: l'autenticazione Kerberos è abilitata nell'istanza database.

  • enabling-kerberos: AWS si trova nella fase di abilitazione dell'autenticazione Kerberos su questa istanza database.

  • pending-enable-kerberos: l'abilitazione dell'autenticazione Kerberos è in corso su questa istanza database.

  • pending-maintenance-enable-kerberos: AWS proverà ad abilitare l'autenticazione Kerberos sull'istanza database durante la prossima finestra di manutenzione pianificata.

  • pending-disable-kerberos: la disabilitazione dell'autenticazione Kerberos è in corso su questa istanza database.

  • pending-maintenance-disable-kerberos: AWS proverà a disabilitare l'autenticazione Kerberos sull'istanza database durante la prossima finestra di manutenzione pianificata.

  • enable-kerberos-failed: un problema di configurazione ha impedito a AWS di abilitare l'autenticazione Kerberos sull'istanza database. Correggi il problema di configurazione prima di inviare nuovamente il comando per modificare l'istanza database.

  • disabling-kerberos: AWS si trova nella fase di disabilitazione dell'autenticazione Kerberos su questa istanza database.

Una richiesta per abilitare l'autenticazione Kerberos potrebbe non andare a buon fine a causa di un problema di connettività di rete o un ruolo IAM non corretto. Se il tentativo di abilitare l'autenticazione Kerberos non va a buon fine quando crei o modifichi un'istanza database, assicurati innanzitutto di utilizzare il ruolo IAM corretto. Quindi, modifica l'istanza database per l'aggiunta al dominio

Nota

Solo l'autenticazione Kerberos con Amazon RDS for Oracle invia traffico ai server DNS del dominio. Tutte le altre richieste DNS vengono gestite come accesso di rete in uscita sulle istanze database che eseguono Oracle. Per ulteriori informazioni sull'accesso di rete in uscita con Amazon RDS for Oracle, consulta Impostazione di un server DNS personalizzato.

Chiavi Kerberos con rotazione forzata

Una chiave segreta viene condivisa tra AWS Managed Microsoft AD e l’istanza database Amazon RDS for Oracle. Questa chiave viene ruotata automaticamente ogni 45 giorni. Puoi utilizzare la procedura Amazon RDS seguente per forzare la rotazione di questa chiave.

SELECT rdsadmin.rdsadmin_kerberos_auth_tasks.rotate_kerberos_keytab AS TASK_ID FROM DUAL;
Nota

In una configurazione replica di lettura, questa procedura è disponibile solo nell'istanza database di origine e non nella replica di lettura.

L'istruzione SELECT restituisce l'ID dell'attività in un tipo di dati VARCHAR2. È possibile visualizzare lo stato di un'attività in corso in un file bdump. I file bdump si trovano nella directory /rdsdbdata/log/trace. Il nome del file bdump ha il formato che segue.

dbtask-task-id.log

È possibile visualizzare il risultato visualizzando il file di output dell'attività.

SELECT text FROM table(rdsadmin.rds_file_util.read_text_file('BDUMP','dbtask-task-id.log'));

Sostituire task-id con l'ID attività restituito dalla procedura.

Nota

Le attività vengono eseguite in modo asincrono.