Amazon RDS for Db2 DB 인스턴스에 대한 Kerberos 인증 설정

AWS Directory Service for Microsoft Active Directory(AWS Managed Microsoft AD)를 사용하여 RDS for Db2 DB 인스턴스에 대한 Kerberos 인증을 설정합니다. Kerberos 인증을 설정하려면 다음 단계를 따릅니다.

1단계: AWS Managed Microsoft AD를 사용하여 디렉터리 생성

AWS Directory Service는 AWS 클라우드에서 완전관리형 Active Directory를 생성합니다. AWS Managed Microsoft AD 디렉터리를 생성할 때 AWS Directory Service에서 두 개의 도메인 컨트롤러와 DNS 서버가 자동으로 생성됩니다. 디렉터리 서버는 VPC 내 다른 서브넷에서 생성됩니다. 이러한 중복은 장애가 발생해도 디렉터리에 액세스할 수 있도록 보장하는 데 도움이 됩니다.

AWS Managed Microsoft AD 디렉터리를 생성하는 경우 AWS Directory Service에서 다음 작업이 자동으로 수행됩니다.

AWS Directory Service for Microsoft Active Directory를 시작하면 AWS는 디렉터리의 모든 객체를 포함하는 조직 단위(OU)를 생성합니다. 디렉터리를 만들 때 입력한 NetBIOS 이름이 있는 이 OU는 도메인 루트에 있습니다. 도메인 루트는 AWS에서 소유하고 관리합니다.

Admin 디렉터리를 사용하여 생성한 AWS Managed Microsoft AD 계정은 OU의 가장 일반적인 관리 활동에 대한 권한이 있습니다.

또한 Admin 계정은 다음 도메인 차원 활동을 수행할 권한이 있습니다.

디렉터리를 생성하는 데 몇 분 정도 걸립니다. 디렉터리가 성공적으로 생성되면 상태 값이 활성으로 변경됩니다.

디렉터리에 대한 정보를 보려면 디렉터리 ID에서 해당 디렉터리 ID를 선택합니다. 디렉터리 ID 값을 적어 두십시오. RDS for Db2 DB 인스턴스를 생성하거나 수정할 때 이 값이 필요합니다.

2단계: Amazon RDS에서 AWS Directory Service에 액세스할 수 있도록 IAM 역할 생성

사용자를 대신해서 Amazon RDS가 AWS Directory Service를 호출하도록 하려면 AWS 계정에서 관리형 IAM 정책 AmazonRDSDirectoryServiceAccess를 사용하는 IAM 역할이 필요합니다. 이 역할을 사용하여 Amazon RDS에서 AWS Directory Service를 호출할 수 있습니다.

AWS Management Console을 사용하여 DB 인스턴스를 생성할 때 콘솔 사용자에게 iam:CreateRole 권한이 있으면 콘솔에서 필요한 IAM 역할을 자동으로 생성합니다. 이 경우 역할 이름은 rds-directoryservice-kerberos-access-role입니다. 그렇지 않으면 IAM 역할을 수동으로 생성해야 합니다. 이 IAM 역할을 생성할 때 Directory Service를 선택하고 여기에 AWS 관리형 정책인 AmazonRDSDirectoryServiceAccess를 연결합니다.

서비스에 대한 IAM 역할 생성에 대한 자세한 내용은 IAM 사용 설명서의 AWS 서비스에 대한 권한을 위임할 역할 생성을 참조하세요.

AmazonRDSDirectoryServiceAccess 관리형 정책인을 사용하는 대신 필요한 권한이 포함된 정책을 생성할 수 있습니다. 이 경우 IAM 역할에 다음과 같은 IAM 신뢰 정책이 있어야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

또한 역할에는 다음과 같은 IAM 역할 정책도 있어야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

3단계: 사용자 생성 및 구성

Active Directory Users and Computers 도구를 사용하여 사용자를 만들 수 있습니다. Active Directory Domain Services 및 Active Directory Lightweight Directory Services 도구 중 하나입니다. 자세한 내용은 Microsoft 설명서의 Active Directory 도메인에 사용자 및 컴퓨터 추가를 참조하세요. 이 경우 사용자는 도메인에 속하며 디렉터리에서 ID가 유지되는 개인 또는 기타 엔터티(예: 사용자의 컴퓨터)입니다.

AWS Directory Service 디렉터리에서 사용자를 생성하려면 AWS Directory Service 디렉터리의 멤버인 Windows 기반 Amazon EC2 인스턴스에 연결되어 있어야 합니다. 이와 동시에 사용자를 생성할 권한이 있는 사용자로 로그인한 상태이어야 합니다. 자세한 내용은 AWS Directory Service관리 안내서의 사용자 생성을 참조하십시오.

4단계: AWS Managed Microsoft AD에서 RDS for Db2 관리자 그룹 생성

RDS for Db2는 마스터 사용자 또는 2명의 Amazon RDS 예약 사용자 rdsdb 및 rdsadmin에 대한 Kerberos 인증을 지원하지 않습니다. 대신 AWS Managed Microsoft AD에서 masterdba라는 새로운 그룹을 생성해야 합니다. 자세한 내용은 Microsoft 설명서의 Active Directory에서 그룹 계정 생성을 참조하세요. 이 그룹에 추가하는 모든 사용자는 마스터 사용자 권한을 갖게 됩니다.

Kerberos 인증을 활성화하면 마스터 사용자는 masterdba 역할을 잃습니다. 따라서 Kerberos 인증을 비활성화하지 않으면 마스터 사용자는 인스턴스 로컬 사용자 그룹 멤버십에 액세스할 수 없습니다. 암호 로그인을 통해 마스터 사용자를 계속 사용하려면 AWS Managed Microsoft AD에서 마스터 사용자와 동일한 이름을 가진 사용자를 생성하세요. 그런 다음 사용자를 masterdba 그룹에 추가합니다.

5단계: RDS for Db2 DB 인스턴스 생성 또는 수정

디렉터리에서 사용할 RDS for Db2 DB 인스턴스를 생성하거나 수정합니다. AWS Management Console, AWS CLI 또는 RDS API를 사용하여 DB 인스턴스를 디렉터리에 연결할 수 있습니다. 이 작업을 다음 중 한 가지 방법으로 수행할 수 있습니다.

Kerberos 인증은 VPC의 RDS for Db2 DB 인스턴스에 대해서만 지원됩니다. DB 인스턴스는 디렉터리와 동일한 VPC 또는 다른 VPC에 있을 수 있습니다. DB 인스턴스가 디렉터리와 통신할 수 있도록 DB 인스턴스는 디렉터리의 VPC 내 송수신을 허용하는 보안 그룹을 사용해야 합니다.

6단계: Db2 클라이언트 구성

다음 예제는 AWS Managed Microsoft AD에 대한 /etc/krb5.conf 파일 콘텐츠입니다.

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM