View a markdown version of this page

AWSSupport-TroubleshootRDSIAMAuthentication - AWS Systems Manager Référence du dossier d’exploitation Automation

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWSSupport-TroubleshootRDSIAMAuthentication

Description

Il AWSSupport-TroubleshootRDSIAMAuthentication aide à résoudre les problèmes d'authentification Gestion des identités et des accès AWS (IAM) pour les instances Amazon RDS pour PostgreSQL, Amazon RDS pour MySQL, Amazon RDS pour MariaDB, Amazon Aurora PostgreSQL et Amazon Aurora MySQL. Utilisez ce runbook pour vérifier la configuration requise pour l'authentification IAM avec une instance Amazon RDS ou Aurora Cluster. Il fournit également des étapes pour résoudre les problèmes de connectivité à l'instance Amazon RDS ou au cluster Aurora.

Important

Ce runbook ne prend pas en charge Amazon RDS pour Oracle ni Amazon RDS pour Microsoft SQL Server.

Important

Si une instance Amazon EC2 source est fournie et que la base de données cible est Amazon RDS, un automatisme enfant AWSSupport-TroubleshootConnectivityToRDS est invoqué pour résoudre les problèmes de connectivité TCP. La sortie fournit également des commandes que vous pouvez exécuter sur votre instance Amazon EC2 ou votre machine source pour vous connecter aux instances Amazon RDS à l'aide de l'authentification IAM.

Fonctionnement

Ce runbook comprend six étapes :

  • Étape 1 : ValidateInputs : valide les entrées de l'automatisation.

  • Étape 2 : branche OnSourceEC2Provided : vérifie si un ID d'instance Amazon EC2 source est fourni dans les paramètres d'entrée.

  • Étape 3 : ValidateRDSConnectivity : valide la connectivité Amazon RDS à partir de l'instance Amazon EC2 source, si elle est fournie.

  • Étape 4 : ValidaterDSIAMAuthentication : valide si la fonctionnalité d'authentification IAM est activée.

  • Étape 5 : ValidateIAMPolicies : vérifie si les autorisations IAM requises sont présentes dans l'IAM fourni. user/role

  • Étape 6 : Générer un rapport : génère un rapport des résultats des étapes précédemment exécutées.

Exécutez cette automatisation (console)

Type de document

 Automatisation

Propriétaire

Amazon

Plateformes

Linux

Paramètres

  • AutomationAssumeRole

    Type : Chaîne

    Description : (Facultatif) Le nom de ressource Amazon (ARN) du rôle Gestion des identités et des accès AWS (IAM) qui permet à Systems Manager Automation d'effectuer les actions en votre nom. Si aucun rôle n'est spécifié, Systems Manager Automation utilise les autorisations de l'utilisateur qui démarre ce runbook.

  • Type RDS

    Type : Chaîne

    Description : (Obligatoire) : Sélectionnez le type de base de données relationnelle auquel vous essayez de vous connecter et de vous authentifier.

    Valeurs autorisées : Amazon RDS ou Amazon Aurora Cluster.

  • DBInstanceIdentifier

    Type : Chaîne

    Description : (Obligatoire) L'identifiant de l'instance de base de données Amazon RDS ou du cluster de bases de données Aurora cible.

    Schéma autorisé : ^[A-Za-z0-9]+(-[A-Za-z0-9]+)*$

    Nombre maximum de caractères : 63

  • SourceEc2InstanceIdentifier

    Type : AWS::EC2::Instance::Id

    Description : (Facultatif) L'ID d'instance Amazon EC2 si vous vous connectez à l'instance de base de données Amazon RDS depuis une instance Amazon EC2 exécutée dans le même compte et la même région. Ne spécifiez pas ce paramètre si la source n'est pas une instance Amazon EC2 ou si le type Amazon RDS cible est un cluster de bases de données Aurora.

    Valeur par défaut : ""

  • DBIAMRoleName

    Type : Chaîne

    Description : (Facultatif) Le nom du rôle IAM utilisé pour IAM-based l'authentification. Fournissez uniquement si le paramètre n'DBIAMUserNameest pas fourni, sinon laissez-le vide. Il faut fournir soit DBIAMRoleName soit DBIAMUserName.

    Schéma autorisé : ^[a-zA-Z0-9+=,.@_-]{1,64}$|^$

    Nombre maximum de caractères : 64

    Valeur par défaut : ""

  • DBIAMUserName

    Type : Chaîne

    Description : (Facultatif) Le nom d'utilisateur IAM utilisé pour IAM-based l'authentification. Fournissez uniquement si le DBIAMRoleName paramètre n'est pas fourni, sinon laissez-le vide. Il faut fournir soit DBIAMRoleName soit DBIAMUserName.

    Schéma autorisé : ^[a-zA-Z0-9+=,.@_-]{1,64}$|^$

    Nombre maximum de caractères : 64

    Valeur par défaut : ""

  • DBUserName

    Type : Chaîne

    Description : (Facultatif) Le nom d'utilisateur de la base de données mappé à un IAM role/user pour l' IAM-based authentification au sein de la base de données. L'option par défaut * évalue si l'rds-db:connectautorisation est autorisée pour tous les utilisateurs de la base de données.

    Schéma autorisé : ^[a-zA-Z0-9+=,.@*_-]{1,64}$

    Nombre maximum de caractères : 64

    Valeur par défaut : *

Autorisations IAM requises

Le AutomationAssumeRole paramètre nécessite les actions suivantes pour utiliser correctement le runbook.

  • ec2:DescribeInstances

  • ec2:DescribeNetworkAcls

  • ec2:DescribeRouteTables

  • ec2:DescribeSecurityGroups

  • ec2:DescribeSubnets

  • iam:GetPolicy

  • iam:GetRole

  • iam:GetUser

  • iam:ListAttachedRolePolicies

  • iam:ListAttachedUserPolicies

  • iam:ListRolePolicies

  • iam:ListUserPolicies

  • iam:SimulatePrincipalPolicy

  • rds:DescribeDBClusters

  • rds:DescribeDBInstances

  • ssm:DescribeAutomationStepExecutions

  • ssm:GetAutomationExecution

  • ssm:StartAutomationExecution

Instructions

  1. Accédez AWSSupport-TroubleshootRDSIAMAuthentication à la AWS Systems Manager console.

  2. Sélectionnez Execute Automation

  3. Pour les paramètres d'entrée, entrez les informations suivantes :

    • AutomationAssumeRole(Facultatif) :

      Le nom de ressource Amazon (ARN) du rôle Gestion des identités et des accès AWS (IAM) qui permet à Systems Manager Automation d'effectuer les actions en votre nom. Si aucun rôle n'est spécifié, Systems Manager Automation utilise les autorisations de l'utilisateur qui démarre ce runbook.

    • RDS Type (obligatoire) :

      Sélectionnez le type d'Amazon RDS auquel vous essayez de vous connecter et de vous authentifier. Choisissez l'une des deux valeurs autorisées : Amazon RDS ou Amazon Aurora Cluster.

    • DBInstanceIdentifier(Obligatoire) :

      Entrez l'identifiant de l'instance de base de données Amazon RDS cible ou du cluster Aurora auquel vous essayez de vous connecter et utilisez les informations d'identification IAM pour l'authentification.

    • SourceEc2InstanceIdentifier(Facultatif) :

      Fournissez l'ID d'instance Amazon EC2 si vous vous connectez à l'instance de base de données Amazon RDS depuis une instance Amazon EC2 présente dans le même compte et la même région. Laissez ce champ vide si la source n'est pas Amazon EC2 ou si le type Amazon RDS cible est un cluster Aurora.

    • DBIAMRoleName(Facultatif) :

      Entrez le nom du rôle IAM utilisé pour IAM-Based l'authentification. Indiquez uniquement si DBIAMUserName ce n'est pas le cas ; sinon, laissez ce champ vide. Il faut fournir soit DBIAMRoleName soit DBIAMUserName.

    • DBIAMUserName(Facultatif) :

      Entrez l'utilisateur IAM utilisé pour l' IAM-Basedauthentification. Indiquez uniquement si DBIAMRoleName ce n'est pas le cas, sinon, laissez ce champ vide. Il faut fournir soit DBIAMRoleName soit DBIAMUserName.

    • DBUserName(Facultatif) :

      Entrez l'utilisateur de base de données mappé à un IAM role/user pour IAM-Based l'authentification dans la base de données. L'option par défaut * est utilisée pour évaluer ; rien n'est fourni dans ce champ.

    Section des paramètres d'entrée présentant le sélecteur d'instance EC2, les champs de configuration RDS et les options d'authentification.

  4. Sélectionnez Exécuter.

  5. Notez que l'automatisation démarre.

  6. Le document exécute les étapes suivantes :

    • Étape 1 : Valider les entrées :

      Valide les entrées de l'automatisation - SourceEC2InstanceIdentifier (facultatif), DBInstanceIdentifier ouClusterID, et DBIAMRoleName ouDBIAMUserName. Il vérifie si les paramètres de saisie saisis sont présents dans votre compte et dans votre région. Il vérifie également si l'utilisateur a saisi l'un des paramètres IAM (par exemple, DBIAMRoleName ouDBIAMUserName). En outre, il effectue d'autres vérifications, par exemple si la base de données mentionnée est en statut Disponible.

    • Étape 2 : succursale OnSourceEC2Provided :

      Vérifie si la source Amazon EC2 est fournie dans les paramètres d'entrée et si la base de données est Amazon RDS. Dans l'affirmative, il passe à l'étape 3. Dans le cas contraire, il ignore l'étape 3, qui est la validation de la connectivité Amazon EC2-Amazon RDS, et passe à l'étape 4.

    • Étape 3 : Validation de la connectivité DS :

      Si la source Amazon EC2 est fournie dans les paramètres d'entrée et que la base de données est Amazon RDS, l'étape 2 lance l'étape 3. Au cours de cette étape, l'automatisme enfant AWSSupport-TroubleshootConnectivityToRDS est invoqué pour valider la connectivité Amazon RDS à partir de la source Amazon EC2. Le runbook d'automatisation des enfants AWSSupport-TroubleshootConnectivityToRDS vérifie si les configurations réseau requises (Amazon Virtual Private Cloud [Amazon VPC], groupes de sécurité, liste de contrôle d'accès réseau [NACL], disponibilité Amazon RDS) sont en place pour que vous puissiez vous connecter de l'instance Amazon EC2 à l'instance Amazon RDS.

    • Étape 4 : Authentification DSIAM validée :

      Valide si la fonctionnalité d'authentification IAM est activée sur l'instance Amazon RDS ou Aurora Cluster.

    • Étape 5 : Valider les politiques IAM :

      Vérifie si les autorisations IAM requises sont présentes dans l'IAM user/role transmis pour permettre aux informations d'identification IAM de s'authentifier dans l'instance Amazon RDS pour l'utilisateur de base de données spécifié (le cas échéant).

    • Étape 6 : Générer un rapport :

      Obtient toutes les informations des étapes précédentes et imprime le résultat ou la sortie de chaque étape. Il répertorie également les étapes à suivre et à effectuer pour vous connecter à l'instance Amazon RDS à l'aide des informations d'identification IAM.

  7. Une fois l'automatisation terminée, consultez la section Sorties pour obtenir les résultats détaillés :

    • Vérification de l' User/Roleautorisation IAM pour se connecter à la base de données :

      Vérifie si les autorisations IAM requises sont présentes dans l'IAM user/role transmis pour permettre aux informations d'identification IAM de s'authentifier dans l'instance Amazon RDS pour l'utilisateur de base de données spécifié (le cas échéant).

    • Vérification de IAM-Based l'attribut d'authentification de la base de données :

      Vérifie si la fonctionnalité d'authentification IAM est activée pour le cluster Amazon RDS Database/Aurora spécifié.

    • Vérification de la connectivité entre une instance Amazon EC2 et une instance Amazon RDS :

      Vérifie si les configurations réseau requises (Amazon VPC, groupes de sécurité, NACL, disponibilité Amazon RDS) sont en place afin que vous puissiez vous connecter de l'instance Amazon EC2 à l'instance Amazon RDS.

    • Étapes suivantes:

      Répertorie les commandes et les étapes à consulter et à exécuter pour se connecter à l'instance Amazon RDS à l'aide des informations d'identification IAM.

    Les résultats du dépannage indiquent que IAM les autorisations ont été vérifiées, que IAM l'authentification est activée et qu'aucune instance EC2 source n'a été fournie.

Références

Systems Manager Automation