View a markdown version of this page

Einrichten eines selbstverwalteten Active Directory - Amazon Relational Database Service
Schritt 1: Erstellen einer Organisationseinheit in Ihrem ADSchritt 2: Erstellen eines AD-Domain-Servicekontos in Ihrem ADSchritt 3: Delegieren der Kontrolle an das AD-Domain-ServicekontoSchritt 4: Erstellen Sie eine AWS KMS SchlüsselSchritt 5: Erstellen Sie ein Secrets Manager-Geheimnis

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Einrichten eines selbstverwalteten Active Directory

Bevor Sie eine Amazon RDS for Oracle DB-Instance zu Ihrer selbstverwalteten Active Directory (AD) -Domain hinzufügen, führen Sie die folgenden Schritte durch, um Ihre AD-Domain und Ihre AWS Konto. Sie führen diese Schritte einmal aus und Sie können die Organisationseinheit (OU), das Domänendienstkonto, verwenden AWS KMS Schlüssel und Geheimnis, die sie für jede DB-Instance in derselben erstellen AWS Konto und AWS-Region dass Sie der Domain beitreten. Wenn Sie fertig sind, fügen Sie jede DB-Instance der Domain hinzu und stellen Sie eine Verbindung zu ihr her, wie unter beschrieben Einen Kerberos-Client konfigurieren und eine Verbindung zu Ihrer DB-Instance herstellen.

Schritt 1: Erstellen einer Organisationseinheit in Ihrem AD

Wichtig

Wir empfehlen, dass Sie jeweils eine dedizierte Organisationseinheit und ein Dienstkonto erstellen, das auf diese Organisationseinheit beschränkt ist AWS Konto, das eine RDS for Oracle DB-Instance besitzt, die zu Ihrer Domain gehört. Eine dedizierte Organisationseinheit und ein Dienstkonto vermeiden widersprüchliche Berechtigungen und folgen dem Prinzip der geringsten Rechte.

Um eine Organisationseinheit in Ihrem AD zu erstellen

  1. Stellen Sie als Domain-Administrator eine Verbindung zu Ihrer AD-Domain her.

  2. Öffnen Sie Active Directory-Benutzer und -Computer und wählen Sie die Domain aus, in der Sie Ihre Organisationseinheit erstellen möchten.

  3. Öffnen Sie das Kontextmenü für die Domain und wählen Sie Neu, und dann wähle Organisatorische Einheit.

  4. Geben Sie einen Namen für die Organisationseinheit ein, z. B. AWS-RDS-OU. Es darf keine Shell-Metazeichen $, `, |,; oder Steuerzeichen enthalten.

  5. Behalten Behälter vor versehentlichem Löschen schützen Kontrollkästchen aktiviert.

  6. Wählen Sie OK aus. Ihre neue Organisationseinheit wird unter Ihrer Domain angezeigt.

Schritt 2: Erstellen eines AD-Domain-Servicekontos in Ihrem AD

Sie speichern die Anmeldeinformationen dieses Kontos in Schritt 5 im Secrets Manager.

So erstellen Sie ein AD-Domain-Dienstkonto in Ihrem AD

  1. Öffnen Sie Active-Directory-Benutzer und -Computer und wählen Sie die Domain und die Organisationseinheit aus, in der Sie den Benutzer erstellen möchten.

  2. Öffnen Sie das Kontextmenü für Nutzer, wählen Neu, und dann wähle Nutzer.

  3. Geben Sie einen Vornamen, Nachnamen und Benutzeranmeldenamen für den Benutzer ein, z. B. rds-join-svc. Wählen Sie Weiter aus.

  4. Geben Sie ein Passwort für den Benutzer ein. Wählen Sie nicht Der Benutzer muss das Passwort bei der nächsten Anmeldung ändern. Wählen Sie nicht Konto ist deaktiviert. Wählen Sie Weiter aus.

  5. Wählen Sie OK aus. Ihr neuer Benutzer wird unter Ihrer Domain angezeigt.

Schritt 3: Delegieren der Kontrolle an das AD-Domain-Servicekonto

Die meisten Berechtigungen erteilen Sie mit dem Assistenten zum Delegieren der Steuerung und die verbleibenden Attributberechtigungen mit PowerShell.

Teil A: Delegieren Sie Berechtigungen mit dem Assistenten zum Delegieren von Steuerelementen

Um die Kontrolle an das AD-Domain-Dienstkonto in Ihrer Domain zu delegieren

  1. Öffnen Sie das Active Directory-Benutzer und -Computer Snap-In für Microsoft Management Console (MMC) und wählen Sie Ihre Domäne aus.

  2. Öffnen Sie das Kontextmenü für die Organisationseinheit, die Sie in Schritt 1 erstellt haben, und wählen Sie Steuerung delegieren.

  3. Auf der Assistent zum Delegieren der Steuerung, wählen Sie Als Nächstes.

  4. In der Benutzer oder Gruppen Abschnitt, wählen Sie Hinzufügen.

  5. In der Wählen Sie Benutzer, Computer oder Gruppen Geben Sie im Abschnitt das Domänendienstkonto ein, das Sie in Schritt 2 erstellt haben, und wählen Sie Überprüfen Sie die Namen. Wenn die Prüfung erfolgreich ist, wählen Sie OK.

  6. In der Benutzer oder Gruppen Vergewissern Sie sich im Abschnitt, dass das Domain-Dienstkonto angezeigt wird, und wählen Sie Weiter.

  7. In der Zu delegierende Aufgaben Abschnitt, wählen Sie Erstellen Sie eine benutzerdefinierte Aufgabe zum Delegieren, und wählen Sie Weiter.

  8. Gehen Sie im Abschnitt Active-Directory-Objekttyp wie folgt vor:

    1. Wählen Sie Nur die folgenden Objekte in dem Ordner aus.

    2. Wählen Sie Objekte des Benutzers.

    3. Wählen Sie Ausgewählte Objekte in diesem Ordner erstellen aus.

    4. Wählen Sie Ausgewählte Objekte in diesem Ordner löschen, und wählen Sie Weiter.

  9. Gehen Sie im Abschnitt Berechtigungen wie folgt vor:

    1. Behalten Sie die Auswahl von Allgemein bei.

    2. Wählen Sie Property-specific.

    3. Wählen Sie Creation/deletion bestimmter untergeordneter Objekte.

    4. Wählen Sie Alle Eigenschaften lesen.

    5. Wählen Sie Passwort zurücksetzen.

    6. Wählen Sie Lesen Sie michDS-SupportedEncryptionTypes.

    7. Wählen Sie Schreiben Sie mirDS-SupportedEncryptionTypes.

  10. Auf Den Assistenten zum Delegieren der Kontrolle abschließen, überprüfen Sie Ihre Einstellungen und wählen Sie Fertig.

Teil B: DelegiertendienstPrincipalName Berechtigungen mit PowerShell

Der Assistent zum Delegieren von Steuerelementen macht das nicht verfügbar servicePrincipalName Eigenschaft für Benutzerobjekte. Führen Sie Folgendes aus PowerShell Skript auf einem Domänencontroller, um dem Domänendienstkonto Lese- und Schreibzugriff zu gewähren servicePrincipalName auf Benutzerobjekten in der OU.

Ersetzen Dienstkonto mit dem Namen des Domänendienstkontos, das Sie in Schritt 2 erstellt haben, z. B. rds-join-svc, und ersetzen Sie den eindeutigen Namen der Organisationseinheit durch die Organisationseinheit, die Sie in Schritt 1 erstellt haben.

$ou   = "OU=AWS-RDS-OU,DC=corp,DC=example,DC=com"
$user = Get-ADUser "service-account"
$acl  = Get-Acl "AD:$ou"

$schemaPath = (Get-ADRootDSE).schemaNamingContext
$spnSchema = Get-ADObject -SearchBase $schemaPath -Filter {lDAPDisplayName -eq "servicePrincipalName"} -Properties schemaIDGUID
$spnGuid = New-Object Guid (,$spnSchema.schemaIDGUID)
$userGuid = New-Object Guid "bf967aba-0de6-11d0-a285-00aa003049e2"

$ace = New-Object System.DirectoryServices.ActiveDirectoryAccessRule(
   $user.SID,
   "ReadProperty,WriteProperty",
   "Allow",
   $spnGuid,
   "Descendents",
   $userGuid
)

$acl.AddAccessRule($ace)
Set-Acl "AD:$ou" $acl

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die Berechtigungen angewendet wurden PowerShell Befehle.

$acl = Get-Acl "AD:$ou"
$acl.Access | Where-Object { $_.IdentityReference -like "*service-account*" } | Format-List

Schritt 4: Erstellen Sie eine AWS KMS Schlüssel

Das AWS KMS Der Schlüssel verschlüsselt Ihr Secrets Manager-Geheimnis.

Anmerkung

Verwenden Sie für den Verschlüsselungsschlüssel nicht den AWS Standard AWS KMS Schlüssel. Stellen Sie sicher, dass Sie das erstellen AWS KMS geben Sie dasselbe ein AWS Konto, das die RDS for Oracle DB-Instance enthält, die Sie Ihrem selbstverwalteten AD hinzufügen möchten.

Um eine zu erstellen AWS KMS Schlüssel

  1. Öffne den AWS KMS Konsole unter https://console.aws.amazon.com/kms/, und wähle Schlüssel erstellen.

  2. Wählen Sie für Key type (Schlüsseltyp) Symmetric (Symmetrisch).

  3. Für Verwendung von Schlüsseln, wähle Verschlüsseln und entschlüsseln.

  4. Für Advanced options (Erweiterte Optionen):

    1. Wählen Sie unter Schlüsselmaterialursprung KMS aus.

    2. Für Regionalität, wähle Single-Region Schlüssel, und wähle Weiter.

  5. Für Alias, geben Sie einen Namen für AWS KMS Schlüssel.

  6. (Optional) Für Beschreibung, geben Sie eine Beschreibung des ein AWS KMS Schlüssel.

  7. (Optional) Für Schlagworte, füge Schlagworte für das hinzu AWS KMS Taste, und wähle Weiter.

  8. Für Wichtige Administratoren, wählen Sie einen IAM-Benutzer aus und wählen Sie ihn aus.

  9. Für Löschen des Schlüssels, behalten Erlauben Sie Schlüsseladministratoren, diesen Schlüssel zu löschen ausgewählt, und wählen Sie Weiter.

  10. Für Wichtige Nutzer, wählen Sie denselben IAM-Benutzer aus dem vorherigen Schritt aus und wählen Sie ihn aus. Wählen Sie Weiter aus.

  11. Prüfen Sie die Konfiguration.

  12. Für Wichtige Richtlinie, fügen Sie der Richtlinie Folgendes hinzu Aussage.

    {
    "Sid": "Allow use of the KMS key on behalf of RDS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "rds.amazonaws.com"
        ]
    },
    "Action": "kms:Decrypt",
    "Resource": "*"
}

  13. Wählen Sie Finish (Abschließen).

Schritt 5: Erstellen Sie ein Secrets Manager-Geheimnis

Anmerkung

Erstellen Sie das Geheimnis auf dieselbe Weise AWS Konto und AWS-Region als RDS für Oracle-DB-Instance, die Sie Ihrer Domain hinzufügen möchten.

Um ein Geheimnis mit der Konsole zu erstellen

  1. Öffnen Sie die Secrets Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/, und wählen Sie Speichere ein neues Geheimnis.

  2. Als Secret-Typ wählen Sie Anderer Secret-Typ aus.

  3. Für Key/value paare, füge zwei Schlüssel hinzu:

    1. Geben Sie als ersten Schlüssel SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME ein.

    2. Geben Sie für den Wert des ersten Schlüssels den Benutzeranmeldenamen des Domänendienstkontos ohne das Domänenpräfix ein. Geben Sie z. B. ei rds-join-svc. Geben Sie den Domain-Namen nicht an, da dies dazu führt, dass die Instance-Erstellung fehlschlägt.

    3. Geben Sie als zweiten Schlüssel SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD ein.

    4. Geben Sie für den Wert des zweiten Schlüssels das Passwort des Domänendienstkontos ein.

  4. Für Verschlüsselungsschlüssel, wählen Sie den AWS KMS Schlüssel, den Sie in Schritt 4 erstellt haben, und wählen Sie Weiter.

  5. Für Geheimer Name, geben Sie einen beschreibenden Namen für das Geheimnis ein.

  6. (Optional) Für Beschreibung, geben Sie eine Beschreibung des Geheimnisses ein.

  7. Für Berechtigungen für Ressourcen, wählen Bearbeiten.

  8. Fügen Sie die folgende Richtlinie hinzu. Ersetzen 123456789012 mit deinem AWS Konto-ID und us-west-2 mit deinem AWS-Region.

    Anmerkung

    Wir empfehlen Ihnen, das zu verwenden aws:sourceAccount und aws:sourceArn Bedingungen, um das verwirrte Stellvertreterproblem zu vermeiden. Benutze deine AWS Konto für aws:sourceAccount und den ARN Ihrer DB-Instances für aws:sourceArn. Weitere Informationen finden Sie unter Vermeidung dienstübergreifender verwirrter Stellvertreterprobleme.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:sourceAccount": "123456789012"
                },
                "ArnLike": {
                    "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                }
            }
        }
    ]
}

  9. Wählen Speichern, und wählen Sie dann Als Nächstes.

  10. Für Rotation konfigurieren, behalten Sie die Standardwerte bei und wählen Sie Als Nächstes.

  11. Überprüfen Sie die Einstellungen für das Geheimnis und wählen Sie Speichern.

  12. Wählen Sie das Geheimnis, das Sie erstellt haben, und kopieren Sie das Geheimer ARN. Verwenden Sie diesen Wert, wenn Sie Ihre DB-Instance mit der Domain in verbinden Schritt 1: Erstellen oder ändern Sie eine Amazon RDS for Oracle DB-Instance.