での Kerberos 認証の使用 AWS Database Migration Service

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

DMS v3.5.3 以降では、Kerberos 認証を使用してデータベースインスタンスに接続するように Oracle または SQL Server ソースエンドポイントを設定できます。DMS は、Microsoft Active Directory および Kerberos 認証 AWS Directory Service をサポートしています。Microsoft Active Directory Services への AWSマネージドアクセスの詳細については、「 とは AWS Directory Service」を参照してください。

AWS DMS Kerberos 認証アーキテクチャの概要

次の図は、Kerberos AWS DMS 認証ワークフローの概要を示しています。

での Kerberos 認証の使用に関する制限 AWSAWS DMS

で Kerberos 認証を使用する場合、次の制限が適用されます AWS AWS DMS。

前提条件

開始するには、既存の Active Directory または Kerberos 認証ホストから次の前提条件を満たす必要があります。

次の例は、Secrets Manager GetSecretValueと アクセスDescribeSecret許可を持つ IAM ロールポリシーを示しています。<keycache_secretsmanager_arn> 値は、前のステップで作成した Keycache Secrets Manager ARN です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": [
                <keycache_secretsmanager_arn>
            ]
        }
    ]
}

DMS レプリケーションインスタンスでの AWS Kerberos サポートの有効化

Kerberos 領域は Windows のドメインと同じです。プリンシパル領域を解決するために、Kerberos はドメインネームサービス (DNS) に依存します。dns-name-servers パラメータを設定すると、レプリケーションインスタンスは事前定義されたカスタム DNS サーバーのセットを使用して Kerberos ドメイン領域を解決します。Kerberos 領域クエリを解決するもう 1 つの代替オプションは、レプリケーションインスタンス Virtual Private Cloud (VPC) で Amazon Route 53 を設定することです。詳細については、「Route 53」を参照してください。

を使用して DMS レプリケーションインスタンスで Kerberos サポートを有効にする AWS Management Console

コンソールを使用して Kerberos サポートを有効にするには、レプリケーションインスタンスの作成またはレプリケーションインスタンスの変更ページの Kerberos 認証セクションに次の情報を入力します。

を使用して DMS レプリケーションインスタンスで Kerberos サポートを有効にする AWS CLI

次の AWS CLI サンプル呼び出しでは、Kerberos をサポートするプライベート DMS レプリケーションインスタンスを作成します。レプリケーションインスタンスはカスタム DNS を使用して Kerberos 領域を解決します。詳細については、「create-replication-instance」を参照してください。

aws dms create-replication-instance 
--replication-instance-identifier my-replication-instance 
--replication-instance-class dms.t2.micro 
--allocated-storage 50 
--vpc-security-group-ids sg-12345678 
--engine-version 3.5.4 
--no-auto-minor-version-upgrade 
--kerberos-authentication-settings'{"KeyCacheSecretId":<secret-id>,"KeyCacheSecretIamArn":<secret-iam-role-arn>,"Krb5FileContents":<krb5.conf file contents>}'
--dns-name-servers <custom dns server>
--no-publicly-accessible

ソースエンドポイントでの Kerberos サポートの有効化

DMS Oracle または SQL Server ソースエンドポイントで Kerberos 認証を有効にする前に、クライアントマシンから Kerberos プロトコルを使用してソースデータベースに対して認証できることを確認してください。 AWS DMS Diagnostic AMI を使用して、レプリケーションインスタンスと同じ VPC で Amazon EC2 インスタンスを起動し、kerberos 認証をテストできます。AMI の詳細については、「」を参照してくださいAWS DMS 診断サポート AMI の使用。

DMS AWS コンソールの使用

エンドポイントデータベースへのアクセスで、Kerberos 認証を選択します。

の使用 AWS CLI

エンドポイント設定パラメータを指定し、AuthenticationMethodオプションを kerberos として設定します。以下に例を示します。

Oracle

aws dms create-endpoint 
--endpoint-identifier my-endpoint 
--endpoint-type source 
--engine-name oracle 
--username dmsuser@MYDOMAIN.ORG 
--server-name mydatabaseserver 
--port 1521 
--database-name mydatabase  
--oracle-settings "{\"AuthenticationMethod\": \"kerberos\"}"

SQL Server

aws dms create-endpoint 
--endpoint-identifier my-endpoint 
--endpoint-type source 
--engine-name sqlserver 
--username dmsuser@MYDOMAIN.ORG 
--server-name mydatabaseserver 
--port 1433
--database-name mydatabase  
--microsoft-sql-server-settings "{\"AuthenticationMethod\": \"kerberos\"}"

ソースエンドポイントのテスト

Kerberos 対応レプリケーションインスタンスに対して Kerberos 対応エンドポイントをテストする必要があります。Kerberos 認証のレプリケーションインスタンスまたはソースエンドポイントを適切に設定しないと、エンドポイントtest-connectionアクションは失敗し、Kerberos 関連のエラーを返す可能性があります。詳細については、「test-connection」を参照してください。