为 Aurora MySQL 数据库集群设置 Kerberos 身份验证

使用 AWS Managed Microsoft AD 为 Aurora MySQL 数据库集群设置 Kerberos 身份验证。要设置 Kerberos 身份验证，请执行以下步骤。

步骤 1：使用 AWS Managed Microsoft AD 创建目录

AWS Directory Service 将在 AWS 云中创建一个完全托管的 Active Directory。创建 AWS Managed Microsoft AD 目录时，AWS Directory Service 将代表您创建两个域控制器和域名系统 (DNS) 服务器。目录服务器在 VPC 中的不同子网中创建。这种冗余有助于确保始终可以访问目录，即使发生了故障。

创建 AWS Managed Microsoft AD 目录时，AWS Directory Service 代表您执行以下任务：

在启动 AWS Managed Microsoft AD 时，AWS 创建一个组织单位 (OU)，其中包含目录的所有对象。此 OU 具有您在创建目录时输入的 NetBIOS 名称。此 OU 位于域根目录中，由 AWS 拥有和管理。

使用 AWS Managed Microsoft AD 目录创建的 Admin 账户有权为您的 OU 执行最常见的管理活动，包括：

Admin 账户还有权执行以下域范围的活动：

创建目录需要几分钟时间。创建成功后，Status (状态) 值将更改为 Active (活动)。

要查看有关您的目录的信息，请在目录列表中选择目录名称。请记下目录 ID 值，因为您在创建或修改 Aurora MySQL 数据库集群时需要此值。

步骤 2：（可选）为本地 Active Directory 创建信任

如果您不打算使用自己的本地 Microsoft Active Directory，请跳转至 步骤 3：创建 IAM 角色以供 Amazon Aurora 使用。

要将 Kerberos 身份验证与本地 Active Directory 结合使用，您需要使用林信任在本地 Microsoft Active Directory 和 AWS Managed Microsoft AD 目录（在步骤 1：使用 AWS Managed Microsoft AD 创建目录中创建）之间创建信任域关系。信任可以是单向的，此时 AWS Managed Microsoft AD 目录信任本地 Microsoft Active Directory。信任也可以是双向的，此时两个 Active Directory 相互信任。有关使用 AWS Directory Service 设置信任的更多信息，请参阅 AWS Directory Service 管理指南中的何时创建信任关系。

请确保您的本地 Microsoft Active Directory 域名包含与新创建的信任关系对应的 DNS 后缀路由。以下屏幕截图显示一个示例。

步骤 3：创建 IAM 角色以供 Amazon Aurora 使用

要使 Amazon Aurora 为您调用 AWS Directory Service，您需要一个使用托管式 IAM policy AmazonRDSDirectoryServiceAccess 的 AWS Identity and Access Management（IAM）角色。该角色允许 Aurora 调用 AWS Directory Service。

使用 AWS Management Console创建数据库集群并且您具有 iam:CreateRole 权限时，控制台将自动创建此角色。在这种情况下，角色名为 rds-directoryservice-kerberos-access-role。否则，您必须手动创建 IAM 角色。在创建该 IAM 角色时，请选择 Directory Service，然后将 AWS 托管策略 AmazonRDSDirectoryServiceAccess 附加到该角色。

有关为服务创建 IAM 角色的更多信息，请参阅 IAM 用户指南中的创建向AWS服务委托权限的角色。

或者，您可以创建具有所需权限的角色，而不是使用托管 IAM 策略 AmazonRDSDirectoryServiceAccess。在这种情况下，IAM 角色必须具有以下 IAM 信任策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

角色还必须具有以下 IAM 角色策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}

步骤 4：创建和配置用户

您可以使用“Active Directory 用户和计算机”工具创建用户。该工具是 Active Directory Domain Services 和 Active Directory Lightweight Directory Services 工具的一部分。用户表示有权访问您的目录的独立个人或实体。

要在 AWS Directory Service 目录中创建用户，请使用一个基于 Microsoft Windows 的本地或 Amazon EC2 实例，该实例已加入您的 AWS Directory Service 目录中。您必须以具有权限创建用户的用户身份登录此实例。有关更多信息，请参阅AWS Managed Microsoft AD Directory Service 管理指南中的管理 AWS 中的用户和组。

步骤 5：创建或修改 Aurora MySQL 数据库集群

创建或修改 Aurora MySQL 数据库集群，以便与目录一起使用。您可以使用控制台、AWS CLI 或 RDS API 将数据库集群与目录关联。您可以通过下列方式之一来执行该任务：

仅 VPC 中的 Aurora MySQL 数据库集群支持 Kerberos 身份验证。数据库集群可以与目录在同一 VPC 中或在不同 VPC 中。数据库集群的 VPC 必须具有允许与您的目录进行出站通信的 VPC 安全组。

步骤 6：创建使用 Kerberos 身份验证的 Aurora MySQL 用户

数据库集群加入到 AWS Managed Microsoft AD 域。这样，您可以从您域中的 Active Directory 用户创建 Aurora MySQL 用户。数据库权限是通过授予这些用户并从这些用户撤消的标准 Aurora MySQL 权限来管理的。

您可以允许 Active Directory 用户使用 Aurora MySQL 进行身份验证。为此，首先使用 Amazon RDS 主用户凭证连接到 Aurora MySQL 数据库集群，就像连接到任何其他数据库集群一样。登录后，在 Aurora MySQL 中创建一个具有 Kerberos 身份验证的经外部身份验证的用户，如下所示：

CREATE USER user_name@'host_name' IDENTIFIED WITH 'authentication_kerberos' BY 'realm_name';

以下示例创建了一个名为 Admin 的数据库用户，该用户使用领域名称 MYSQL.LOCAL 针对 Active Directory 进行身份验证。

CREATE USER Admin@'%' IDENTIFIED WITH 'authentication_kerberos' BY 'MYSQL.LOCAL';

修改现有的 Aurora MySQL 登录名

还可以使用以下语法修改现有 Aurora MySQL 登录名以使用 Kerberos 身份验证：

ALTER USER user_name IDENTIFIED WITH 'authentication_kerberos' BY 'realm_name';

步骤 7：配置 MySQL 客户端

要配置 MySQL 客户端，请采取以下步骤：

以下是 AWS Managed Microsoft AD 的示例 krb5.conf 内容。

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

以下是本地 Microsoft Active Directory 的示例 krb5.conf 内容。

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
 ONPREM.COM = {
  kdc = onprem.com
  admin_server = onprem.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM
 .onprem.com = ONPREM.COM
 onprem.com = ONPREM.COM  
 .rds.amazonaws.com = EXAMPLE.COM
 .amazonaws.com.rproxy.goskope.com.cn = EXAMPLE.COM
 .amazon.com = EXAMPLE.COM

步骤 8：（可选）配置不区分大小写的用户名比较

原定设置情况下，MySQL 数据库用户名的字符大小写必须与 Active Directory 登录名的大小写匹配。但是，您现在可以通过 authentication_kerberos 插件使用不区分大小写的用户名比较。为此，可以将 authentication_kerberos_caseins_cmp 数据库集群参数设置为 true。