本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

為 PostgreSQL 資料庫叢集設定 Kerberos 身分驗證

若要設定 Kerberos 身分驗證，請遵循下列步驟。

第 1 步：使用創建一個目錄 AWS Managed Microsoft AD

AWS Directory Service 在 AWS 雲端中建立完全受管理的作用中目錄。當您建立 AWS Managed Microsoft AD 目錄時， AWS Directory Service 會為您建立兩個網域控制站和 DNS 伺服器。目錄伺服器是在 VPC 的不同子網路中建立。此備援有助於確保即使發生故障，您仍然可以存取目錄。

當您建立 AWS Managed Microsoft AD 目錄時，Direc AWS tory Service 會代表您執行下列工作：

啟動時 AWS Directory Service for Microsoft Active Directory， AWS 會建立包含所有目錄物件的組織單位 (OU)。此 OU 有您在建立目錄時所輸入的 NetBIOS 名稱，位於根網域中。網域根目錄擁有及管理 AWS。

使用您的 AWS Managed Microsoft AD 目錄建立的Admin帳戶具有 OU 最常見系統管理活動的權限：

Admin 帳戶也有權執行下列全網域活動：

建立目錄需要幾分鐘的時間。成功建立時，Status (狀態) 值會變更為 Active (作用中)。

若要查看目錄的資訊，請選擇目錄清單中的目錄 ID。請記下 Directory ID (目錄 ID) 值，建立或修改 PostgreSQL 資料庫執行個體時需要此值。

步驟 2：(選擇性) 建立內部部署作用中目錄之間的信任關係， AWS Directory Service

如果您不打算使用自己的內部部署 Microsoft Active Directory，請跳至步驟 3：為 Amazon Aurora Amazon 創建 IAM 角色以訪問 AWS Directory Service.

若要使用內部部署 Active Directory 取得 Kerberos 驗證，您必須使用內部部署 Microsoft Active Directory 與目 AWS Managed Microsoft AD 錄 (在中建立) 之間使用樹系信任來建立信任網域關係。第 1 步：使用創建一個目錄 AWS Managed Microsoft AD信任可以是單向的，其中 AWS Managed Microsoft AD 目錄信任內部部署 Microsoft 活動目錄。信任也可以是雙向，其中兩個 Active Directory 互相信任。如需有關使用設定信任的詳細資訊 AWS Directory Service，請參閱《AWS Directory Service 管理指南》中的建立信任關係的時機。

請確定您的內部部署 Microsoft Active Directory 網域名稱包含對應至新建立之信任關係的 DNS 尾碼路由。以下螢幕擷取畫面顯示了一個範例。

步驟 3：為 Amazon Aurora Amazon 創建 IAM 角色以訪問 AWS Directory Service

若要讓 Aurora AWS Directory Service 為您撥打電話，您的 AWS 帳戶需要使用受管 IAM 政策的 IAM 角色AmazonRDSDirectoryServiceAccess。此角色允許 Amazon Aurora 呼叫 AWS Directory Service。請注意，用於存取的 AWS Directory Service 此 IAM 角色與用於的 IAM 角色不同 IAM 資料庫身分驗證。）

當您使用建立資料庫執行個體， AWS Management Console 且主控台使用者帳戶具有iam:CreateRole權限時，主控台會自動建立所需的 IAM 角色。在此情況下，角色名稱為 rds-directoryservice-kerberos-access-role。否則，您必須手動建立 IAM 角色。建立此 IAM 角色時Directory Service，請選擇 AWS 受管政策並將其附加AmazonRDSDirectoryServiceAccess到該角色。

如需為服務建立 IAM 角色的詳細資訊，請參閱《IAM 使用者指南》中的建立角色以將許可委派給 AWS 服務。

作為使用 AmazonRDSDirectoryServiceAccess 受管政策的替代方案，您可以建立具有必要許可的政策。在此情況下，IAM 角色必須有以下 IAM 信任政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

此角色也須具有下列 IAM 角色政策：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

步驟 4：建立和設定使用者

您可以透過使用 Active Directory 使用者和運算集區來建立使用者。這是 Active Directory Domain Services 和 Active Directory 輕量型目錄服務工具之一。如需詳細資訊，請參閱 Microsoft 文件中的將使用者和電腦新增至 Active Directory 網域。在此情況下，使用者是個人或其他實體，例如其電腦屬於網域，而其身分在目錄中維護。

若要在 AWS Directory Service 目錄中建立使用者，您必須連線至作為 AWS Directory Service 目錄成員的 Windows Amazon EC2 執行個體。同時，您必須以具有建立使用者之許可的使用者身分來登入。如需詳細資訊，請參閱《AWS Directory Service 管理指南》中的建立使用者。

步驟 5：啟用目錄和資料庫執行個體之間的跨 VPC 流量

如果您打算在相同 VPC 中尋找目錄和資料庫叢集，請略過本步驟，並移至 步驟 6：建立或修改 PostgreSQL 資料庫叢集。

如果您打算在不同 VPC 中尋找目錄和資料庫執行個體，請使用 VPC 互連或 AWS Transit Gateway 來設定跨 VPC 流量。

下列程序會使用 VPC 互連來啟用 VPC 之間的流量。請遵循《Amazon Virtual Private Cloud 互連指南》中什麼是 VPC 互連？的指示。

如果目錄擁有不同的 AWS 帳戶，您必須共用該目錄。

步驟 6：建立或修改 PostgreSQL 資料庫叢集

建立或修改要搭配目錄使用的 PostgreSQL 資料庫叢集。您可以使用主控台、CLI 或 RDS API，將資料庫叢集與目錄建立關聯。您可採用下列其中一種方式來這麼做：

僅有 VPC 中的 PostgreSQL 資料庫叢集支援 Kerberos 身分驗證。資料庫叢集可在與目錄相同的 VPC 中，或在不同 VPC 中。資料庫叢集必須使用允許在目錄 VPC 內傳入和傳出的安全群組，如此資料庫叢集才能與目錄通訊。

步驟 7：針對您的 Kerberos 主體建立 PostgreSQL 使用者

此時，您的 Aurora PostgreSQL 資料庫叢集已加入 AWS Managed Microsoft AD 網域中。您在 步驟 4：建立和設定使用者 的目錄中建立的使用者必須設定為 PostgreSQL 資料庫使用者，並授予登入資料庫的權限。您可以透過以具有 rds_superuser 權限的資料庫使用者身分登入來執行此操作。例如，如果您在建立 Aurora PostgreSQL 資料庫叢集時接受預設值，請使用 postgres，如下列步驟中所示。

在您完成了針對 Active Directory 使用者身分建立所有 PostgreSQL 使用者之後，使用者就可以使用其 Kerberos 憑證存取 Aurora PostgreSQL 資料庫叢集。

使用 Kerberos 進行驗證的資料庫使用者必須從屬於 Active Directory 網域成員的用戶端電腦執行這項作業。

已獲授予 rds_ad 角色的資料庫使用者也無法具有 rds_iam 角色。這也適用於巢狀成員資格。如需詳細資訊，請參閱 IAM 資料庫身分驗證。

針對不區分大小寫的使用者名稱設定 Aurora PostgreSQL 資料庫叢集

Aurora PostgreSQL 14.5、13.8、12.12 和 11.17 版支援 krb_caseins_users PostgreSQL 參數。此參數支援不區分大小寫的 Active Directory 使用者名稱。根據預設，此參數會設為 false，因此 Aurora PostgreSQL 會以區分大小寫的方式解譯使用者名稱。這是 Aurora PostgreSQL 所有舊版本中的預設行為。不過，您可以在自訂資料庫叢集參數群組中將此參數設為 true，並允許 Aurora PostgreSQL 資料庫叢集參數群組以區分大小寫的方式解譯使用者名稱。考慮這樣做是為了方便您的資料庫使用者，他們有時可能會在使用 Active Directory 進行驗證時打錯其使用者名稱的大小寫。

若要變更 krb_caseins_users 參數，您的 Aurora PostgreSQL 資料庫叢集必須正在使用自訂資料庫叢集參數群組。如需使用自訂資料庫叢集參數群組的相關資訊，請參閱 Amazon Aurora 的參數組 RDS。

您可以使用 AWS CLI 或 AWS Management Console 來變更設定。如需詳細資訊，請參閱 在 Amazon Aurora 中修改資料庫叢集參數群組中的參數。

步驟 8：設定 PostgreSQL 用戶端

若要設定 PostgreSQL 用戶端，請執行下列步驟：

以下是的範例內容。 AWS Managed Microsoft AD

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

下列是內部部署 Microsoft Active Directory 的範例 krb5.conf 內容。

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
 ONPREM.COM = {
  kdc = onprem.com
  admin_server = onprem.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM
 .onprem.com = ONPREM.COM
 onprem.com = ONPREM.COM  
 .rds.amazonaws.com = EXAMPLE.COM
 .amazonaws.com.rproxy.goskope.com.cn = EXAMPLE.COM
 .amazon.com = EXAMPLE.COM