View a markdown version of this page

Verwaltung einer DB-Instance in einer selbstverwalteten Active Directory-Domäne - Amazon Relational Database Service
Rotierende AnmeldeinformationenForce-rotating Schlüssel

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwaltung einer DB-Instance in einer selbstverwalteten Active Directory-Domäne

Sie können das verwenden AWS-Managementkonsole, das AWS CLI, oder die Amazon RDS-API zur Verwaltung Ihrer Amazon RDS for Oracle-DB-Instance und ihrer Beziehung zu Ihrer selbstverwalteten Active Directory-Domain (AD). Beispielsweise können Sie die DB-Instance in Domänen, aus Domänen oder zwischen Domänen verschieben.

Zum Beispiel mit dem AWS CLI Sie können Folgendes tun:

  • Um einen fehlgeschlagenen Domänenbeitritt erneut zu versuchen, führen Sie Folgendes aus modify-db-instance mit den gleichen vier Parametern: --domain-fqdn, --domain-ou, --domain-auth-secret-arn, und --domain-dns-ips.

  • Um eine DB-Instance aus der Domain zu entfernen, führen Sie Folgendes aus modify-db-instance mit dem --disable-domain Option.

  • Um eine DB-Instance in eine andere selbstverwaltete Domain zu verschieben, führen Sie Folgendes aus modify-db-instance mit den vier Domain-Parametern --domain-fqdn, --domain-ou, --domain-auth-secret-arn, und --domain-dns-ips, für die neue Domain.

  • Um die Domänenmitgliedschaft einer DB-Instance anzuzeigen, führen Sie Folgendes aus describe-db-instances und überprüfe das DomainMemberships Feld.

Rotieren der Anmeldeinformationen für das Domänendienstkonto

Amazon RDS verwendet das Domain-Servicekonto, um das Benutzerobjekt für jede DB-Instance zu verwalten und ihre Kerberos-Schlüssel zu rotieren, nicht um Ihre Datenbankbenutzer zu authentifizieren. Wenn Sie das Passwort des Domain-Servicekontos in AD ändern, aktualisieren Sie das Secret in Secrets Manager mit dem neuen Passwort. Amazon RDS liest das aktualisierte Secret automatisch, sodass Sie die DB-Instance nicht ändern oder neu starten müssen.

Um das Geheimnis zu aktualisieren, erstellen Sie eine Datei mit dem Namen smad-secret.json mit dem folgenden Inhalt. Ersetzen Dienstkonto mit dem Namen des Domänendienstkontos, das Sie in Schritt 2 von erstellt haben Einrichten eines selbstverwalteten Active Directory, wie rds-join-svc, und your-new-service-account-password mit deinem neuen Passwort.

{
    "SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME": "service-account",
    "SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD": "your-new-service-account-password"
}

Ersetze arn:aws:secretsmanager:us-west-2:123456789012:secret:my-ad-secret-AbCdEf mit Ihrem geheimen Amazon-Ressourcennamen (ARN) und führen Sie die folgenden Befehle aus.

Für Linux, macOS oder Unix:

aws secretsmanager put-secret-value \
    --secret-id "arn:aws:secretsmanager:us-west-2:123456789012:secret:my-ad-secret-AbCdEf" \
    --secret-string file://smad-secret.json

Für Windows:

aws secretsmanager put-secret-value ^
    --secret-id "arn:aws:secretsmanager:us-west-2:123456789012:secret:my-ad-secret-AbCdEf" ^
    --secret-string file://smad-secret.json

Force-rotating Kerberos-Schlüssel

Amazon RDS for Oracle rotiert die Kerberos-Schlüssel des DB-Instance-Dienstkontos alle 45 Tage. Sie müssen selbst keine Aktion durchführen.

Sie können die folgende Amazon RDS-Prozedur verwenden, um die Rotation dieses Schlüssels zu erzwingen.

SELECT rdsadmin.rdsadmin_kerberos_auth_tasks.rotate_kerberos_keytab AS TASK_ID FROM DUAL;

Die Anweisung SELECT gibt die ID der Aufgabe in einem VARCHAR2-Datentyp zurück. Sie können den Status einer laufenden Aufgabe in einer bdump-Datei einsehen. Die bdump-Dateien befinden sich im Verzeichnis /rdsdbdata/log/trace. Jeder bdump-Dateiname weist das folgende Format auf.

dbtask-task-id.log

Sie können das Ergebnis anzeigen, indem Sie die Ausgabedatei der Aufgabe anzeigen.

SELECT text FROM table(rdsadmin.rds_file_util.read_text_file('BDUMP','dbtask-task-id.log'));

Ersetzen Sie task-id durch die von der Prozedur zurückgegebene Aufgaben-ID.

Anmerkung

Die Aufgaben werden asynchron ausgeführt.