Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Arbeiten mit selbstverwaltetem Active Directory mit einer Amazon RDS for Oracle DB-Instance
Amazon RDS for Oracle lässt sich in Ihre selbstverwaltete Microsoft Active Directory (AD) -Domain integrieren. Ihr AD kann in Ihrem Rechenzentrum, auf Amazon Elastic Compute Cloud (EC2) oder bei einem anderen Cloud-Anbieter ausgeführt werden. Mit dieser Integration authentifizieren sich Benutzer in Ihrem AD mit dem Kerberos-Protokoll bei Ihrer Amazon RDS for Oracle-DB-Instance, sodass keine komplexen Zwischendomänen oder Forest-Trusts erforderlich sind. Wenn ein Benutzer eine Verbindung mit einem Kerberos-Ticket herstellt, das von Ihren Domain-Controllern ausgestellt wurde, validiert RDS for Oracle das Ticket anhand eines Serviceschlüssels, den Amazon RDS in Ihrer Domain registriert. Sie behalten Ihre bestehende Identitätsverwaltungsstruktur bei, während Sie die verwalteten Datenbankfunktionen von Amazon RDS nutzen.
Die Kerberos-Authentifizierung ist additiv. Der Beitritt einer DB-Instance zu Ihrer Domain ändert nichts daran, wie sich bestehende Datenbankbenutzer anmelden. Der Hauptbenutzer und alle Benutzer, die mit erstellt wurden IDENTIFIED BY authentifizieren Sie sich weiterhin mit Passwörtern. Damit ein Active Directory-Benutzer eine Verbindung herstellen kann, erstellen Sie einen extern identifizierten Oracle-Benutzer, der diesem Benutzer zugeordnet ist.
Themen
Verfügbarkeit von Regionen und Versionen
Amazon RDS for Oracle unterstützt selbstverwaltetes AD mithilfe von Kerberos in allen kommerziellen AWS-Regionen.
Einschränkungen
Die folgenden Einschränkungen gelten für RDS for Oracle DB-Instances, die zu einer selbstverwalteten AD-Domain gehören:
-
Per-user Autorisierung. Für jeden AD-Benutzer, der eine Verbindung herstellt, muss ein passender Oracle-Benutzer erstellt werden mit
IDENTIFIED EXTERNALLY. Amazon RDS for Oracle ordnet AD-Gruppen nicht Oracle-Rollen oder -Schemas zu. -
Kerberos-Verschlüsselungstypen. Amazon RDS registriert sein Dienstkonto bei der AES128-CTS-HMAC-SHA1-96 und AES256-CTS-HMAC-SHA1-96 Verschlüsselungstypen und unterstützt RC4 oder DES nicht, daher müssen Ihre Domänencontroller mindestens einen dieser AES-Typen zulassen.
Überlegungen
Beachten Sie Folgendes, wenn Sie selbstverwaltetes AD mit Ihrer DB-Instance verwenden.
-
Der Domänenbeitritt wird nicht vererbt. Eine DB-Instance, die aus einem Snapshot erstellt, zu einem bestimmten Zeitpunkt wiederhergestellt oder als Read Replica erstellt wurde, erbt nicht die Domänenmitgliedschaft ihrer Quelle. Um der neuen DB-Instance beizutreten, geben Sie die Domain-Parameter im Restore- oder Replica-Befehl an. Details hierzu finden Sie unter Schritt 1: Erstellen oder ändern Sie eine Amazon RDS for Oracle DB-Instance.
-
Switchover zwischen Domänen. Wenn eine Read Replica einer anderen Domain als ihre primäre DB-Instance angehört, wird die Kerberos-Authentifizierung auf der neuen primären Instanz nach dem Wechsel anhand der Domäne des Replikats validiert. Amazon RDS for Oracle ordnet eine Kerberos-Anmeldung einem Datenbankbenutzer anhand seines vollständigen Prinzipalnamens zu, einschließlich des Realms. Benutzer und Anwendungen, die eine Verbindung mit einem Principal aus der ursprünglichen Domain herstellen, können sich nach dem Switchover nicht authentifizieren, es sei denn, jeder betroffene Benutzer existiert auch in der Domäne des Replikats und Sie erstellen einen passenden Datenbankbenutzer auf der primären DB-Instance oder Sie konfigurieren eine Vertrauensbeziehung zwischen den beiden Domänen. Benutzer, die sich mit einem Passwort authentifizieren, sind nicht betroffen.
-
Customer-managed Netzwerk. Sie sind für die Konnektivität zwischen Ihrer Virtual Private Cloud (VPC) und Ihren Domain-Controllern verantwortlich. Wenn die DB-Instance die Konnektivität zu Ihren Domänencontrollern verliert, funktioniert die Kerberos-Authentifizierung nicht mehr, bis Sie die Konnektivität wiederherstellen.
-
Best-effort beitreten. Wenn Amazon RDS die DB-Instance nicht mit Ihrer Domain verbinden kann, bleibt die DB-Instance mit Passwortauthentifizierung verfügbar, und Amazon RDS meldet den Fehler im Domain-Mitgliedschaftsstatus und in einem RDS-Ereignis. Folgen Sie den Fehlerdetails im RDS-Ereignis, um die Konfiguration zu korrigieren, und versuchen Sie dann erneut, die Verbindung herzustellen.
Wir empfehlen Folgendes:
-
Erstellen Sie für jede Einheit eine eigene Organisationseinheit (OU) und ein dediziertes Domänendienstkonto AWS Konto, das in die Domäne eingebundene RDS für Oracle-DB-Instances besitzt. Dies folgt dem Prinzip der geringsten Rechte und verhindert, dass sich Berechtigungen überschneiden.
-
Abonnieren Sie RDS-Ereignisbenachrichtigungen für Ihre DB-Instances, damit Sie über Probleme mit der Domänenkonnektivität oder Anmeldeinformationen informiert werden, wenn diese auftreten. Weitere Informationen finden Sie unter Arbeiten Sie mit der Amazon RDS-Ereignisbenachrichtigung.
-
Der Hauptbenutzer verwendet immer die Passwortauthentifizierung, sodass Sie die DB-Instance auch dann verwalten können, wenn Ihre Domain nicht erreichbar ist. Wenn Sie anderen Benutzern Administratorrechte gewähren, lassen Sie mindestens einen von ihnen ebenfalls die Passwortauthentifizierung aktivieren.
Anzeigen des Status einer Domänen-Mitgliedschaft
Nachdem Sie eine DB-Instance mit selbstverwalteten AD-Parametern erstellt, geändert oder wiederhergestellt haben, fügt Amazon RDS die DB-Instance Ihrer Domain hinzu. Die AWS-Managementkonsole zeigt den Status der Domain-Mitgliedschaft auf der Konnektivität und Sicherheit Registerkarte auf der Seite mit den DB-Instance-Details. Sie können den Status auch im DomainMemberships Feld des describe-db-instances Ausgabe. Der Status kann einer der folgenden sein:
-
kerberos-enabled– Für die DB-Instance ist die Kerberos-Authentifizierung aktiviert. -
enabling-kerberos— AWS ist dabei, die Kerberos-Authentifizierung auf dieser DB-Instance zu aktivieren. -
pending-enable-kerberos– Das Aktivieren der Kerberos-Authentifizierung ist für diese DB-Instance ausstehend. -
pending-maintenance-enable-kerberos— AWS wird versuchen, die Kerberos-Authentifizierung auf der DB-Instance während des nächsten geplanten Wartungsfensters zu aktivieren. -
pending-disable-kerberos– Das Deaktivieren der Kerberos-Authentifizierung ist für diese DB-Instance ausstehend. -
pending-maintenance-disable-kerberos— AWS wird versuchen, die Kerberos-Authentifizierung auf der DB-Instance während des nächsten geplanten Wartungsfensters zu deaktivieren. -
enable-kerberos-failed— Ein Konfigurationsproblem hat das verhindert AWS daran, die Kerberos-Authentifizierung auf der DB-Instance zu aktivieren. Beheben Sie das Konfigurationsproblem, bevor Sie den Befehl zum Ändern der DB-Instance erneut ausgeben. -
disabling-kerberos— AWS ist dabei, die Kerberos-Authentifizierung auf dieser DB-Instance zu deaktivieren.
Wenn Amazon RDS das Entfernen einer DB-Instance aus der Domain abgeschlossen hat, wird DomainMemberships Die Liste ist leer.
Das folgende Beispiel zeigt DomainMemberships Ausgabe für eine DB-Instance, die einer selbstverwalteten AD-Domäne beigetreten ist.
[ { "Status": "kerberos-enabled", "FQDN": "corp.example.com", "OU": "OU=AWS-RDS-OU,DC=corp,DC=example,DC=com", "AuthSecretArn": "arn:aws:secretsmanager:us-west-2:123456789012:secret:my-ad-secret-AbCdEf", "DnsIps": [ "10.0.1.100", "10.0.1.101" ] } ]
Anmerkung
Der Status beschreibt das Ergebnis des letzten Beitritts- oder Entfernungsvorgangs. Er spiegelt nicht den aktuellen Zustand der Verbindung zu Ihrer Domain wider. Wenn eine DB-Instance in der kerberos-enabled State verliert später die Verbindung zu Ihren Domänencontrollern, oder wenn die Anmeldeinformationen für das Dienstkonto nicht mehr funktionieren, bleibt der Status bestehen kerberos-enabled und Amazon RDS sendet ein RDS-Ereignis aus, das das Problem beschreibt. Details hierzu finden Sie unter Problembehandlung bei selbstverwaltetem Active Directory für Amazon RDS for Oracle.
