Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Einen Kerberos-Client konfigurieren und eine Verbindung zu Ihrer DB-Instance herstellen

Nachdem Sie die Schritte in abgeschlossen haben Einrichten eines selbstverwalteten Active Directory, führen Sie die folgenden Schritte für jede DB-Instance aus, die Sie mit der Kerberos-Authentifizierung verwenden möchten. Sie fügen die DB-Instance Ihrer Domain hinzu, erstellen Oracle-Benutzer für Ihre Active Directory (AD) -Benutzer, konfigurieren einen Kerberos-Client und stellen dann eine Verbindung zur DB-Instance her. Wenn ein Client-Host bereits für Ihre Domain konfiguriert ist, müssen Sie seine Kerberos-Konfiguration in Schritt 3 nicht für eine andere DB-Instance wiederholen. Stellen Sie sicher, dass der Client-Host die neue DB-Instance über den Datenbank-Port erreichen kann.

Schritt 1: Erstellen oder ändern Sie eine Amazon RDS for Oracle DB-Instance

Sie können eine Amazon RDS for Oracle DB-Instance auf folgende Weise mit Ihrer selbstverwalteten AD-Domain verbinden:

Die DB-Instance muss sich in einer Virtual Private Cloud (VPC) befinden, die Ihre Domänencontroller erreichen kann. Wenn Sie die DB-Instance erstellen oder ändern, stellen Sie sicher, dass ihre Sicherheitsgruppen den unter beschriebenen Datenverkehr zulassen Konfigurieren Ihrer Netzwerkkonnektivität.

Verwenden der Konsole

Verwendung der AWS CLI

Wenn du den benutzt AWS CLI, die folgenden Parameter sind erforderlich, damit die DB-Instance Ihrer selbstverwalteten AD-Domain beitritt:

Beispielsweise verbindet der folgende Befehl eine vorhandene DB-Instance mit einer selbstverwalteten AD-Domain.

Für Linux, macOS oder Unix:

aws rds modify-db-instance \
    --db-instance-identifier my-oracle-instance \
    --domain-fqdn corp.example.com \
    --domain-ou "OU=AWS-RDS-OU,DC=corp,DC=example,DC=com" \
    --domain-auth-secret-arn "arn:aws:secretsmanager:us-west-2:123456789012:secret:my-ad-secret-AbCdEf" \
    --domain-dns-ips "10.0.1.100" "10.0.1.101"

Für Windows:

aws rds modify-db-instance ^
    --db-instance-identifier my-oracle-instance ^
    --domain-fqdn corp.example.com ^
    --domain-ou "OU=AWS-RDS-OU,DC=corp,DC=example,DC=com" ^
    --domain-auth-secret-arn "arn:aws:secretsmanager:us-west-2:123456789012:secret:my-ad-secret-AbCdEf" ^
    --domain-dns-ips "10.0.1.100" "10.0.1.101"

Um zu überprüfen, ob der Domänenbeitritt erfolgreich war, führen Sie den folgenden Befehl aus und bestätigen Sie Folgendes Status ist kerberos-enabled.

aws rds describe-db-instances \
    --db-instance-identifier my-oracle-instance \
    --query 'DBInstances[0].DomainMemberships'

Wenn der Status enable-kerberos-failed lautet, finden Sie unter Problembehandlung bei selbstverwaltetem Active Directory für Amazon RDS for Oracle Informationen dazu.

Schritt 2: Oracle-Logins mit Kerberos-Authentifizierung erstellen

Nachdem die DB-Instance Folgendes erreicht hat kerberos-enabled, verwenden Sie die Amazon RDS-Master-Benutzeranmeldedaten, um wie bei jeder anderen DB-Instance eine Verbindung zur Oracle-DB-Instance herzustellen. Die DB-Instance ist mit Ihrer selbstverwalteten AD-Domain verbunden, sodass Sie Oracle-Logins und Benutzer der Microsoft Active Directory-Benutzer in Ihrer Domain bereitstellen können. Zum Verwalten von Datenbankberechtigungen erteilen und widerrufen Sie Oracle-Standardberechtigungen für diese Anmeldungen.

Um einem Microsoft Active Directory-Benutzer die Authentifizierung bei Oracle zu ermöglichen

Schritt 3: Konfigurieren Sie einen Kerberos-Client

Um einen Oracle-Client zu konfigurieren, müssen Sie die folgenden Voraussetzungen erfüllen:

Das Folgende ist ein Beispiel krb5.conf Inhalt:

[libdefaults]
 default_realm = CORP.EXAMPLE.COM

[realms]
 CORP.EXAMPLE.COM = {
  kdc = corp.example.com
  admin_server = corp.example.com
 }

[domain_realm]
 .corp.example.com = CORP.EXAMPLE.COM
 corp.example.com = CORP.EXAMPLE.COM

Das Folgende ist ein Beispiel sqlnet.ora Inhalt für eine SQL*Plus-Konfiguration:

SQLNET.AUTHENTICATION_SERVICES=(KERBEROS5PRE,KERBEROS5)
SQLNET.KERBEROS5_CONF=path_to_krb5.conf_file
SQLNET.KERBEROS5_CONF_MIT=TRUE

Schritt 4: Stellen Sie eine Verbindung zu Ihrer DB-Instance her

Um eine Verbindung mit SQL*Plus herzustellen