Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Datenbankauthentifizierung mit Amazon RDS
Amazon RDS unterstützt verschiedene Möglichkeiten, Datenbankbenutzer zu authentifizieren.
Bei der Passwort-, Kerberos-, Active Directory- und IAM-Datenbankauthentifizierung werden unterschiedliche Methoden zur Authentifizierung bei der Datenbank verwendet. Daher kann sich ein bestimmter Benutzer mit nur einer einzigen Authentifizierungsmethode bei einer Datenbank anmelden.
Verwenden Sie für PostgreSQL nur eine der folgenden Rolleneinstellungen für einen Benutzer einer bestimmten Datenbank:
-
Um die IAM-Datenbank-Authentifizierung zu verwenden, weisen Sie die
rds_iam-Rolle dem Benutzer zu. -
Um Kerberos-Authentifizierung zu verwenden, weisen Sie die
rds_ad-Rolle dem Benutzer zu. -
Um die Passwort-Authentifizierung zu verwenden, weisen Sie keine der beiden
rds_iam- oderrds_ad- Rollen dem Benutzer zu.
Weisen Sie nicht beide Rollen rds_iam und rds_ad einem Benutzer einer PostgreSQL-Datenbank zu, weder direkt noch indirekt durch verschachtelten gewährtem Zugriff. Wenn die rds_iam-Rolle dem Hauptbenutzer hinzugefügt wird, hat die IAM-Authentifizierung Vorrang vor der Passwort-Authentifizierung, so dass sich der Hauptbenutzer als IAM-Benutzer anmelden muss.
Wichtig
Wir empfehlen Ihnen, den Hauptbenutzer nicht direkt in Ihren Anwendungen zu verwenden. Bleiben Sie stattdessen bei der bewährten Methode, einen Datenbankbenutzer zu verwenden, der mit den Mindestberechtigungen erstellt wurde, die für Ihre Anwendung erforderlich sind.
Themen
Passwortauthentifizierung
Mit der Passwortauthentifizierung führt Ihre Datenbank die gesamte Verwaltung von Benutzerkonten durch. Sie erstellen Benutzer mit SQL-Anweisungen wie CREATE USER, mit der entsprechenden Klausel, die von der DB-Engine zum Angeben von Kennwörtern benötigt wird. In MySQL lautet die Anweisung beispielsweise CREATE
USER name IDENTIFIED BY password, in PostgreSQL lautet die Anweisung CREATE USER name WITH PASSWORD password.
Mit der Passwortauthentifizierung steuert und authentifiziert Ihre Datenbank Benutzerkonten. Wenn eine DB-Engine über starke Passwortverwaltungsfunktionen verfügt, können diese die Sicherheit erhöhen. Die Datenbankauthentifizierung ist möglicherweise einfacher mit der Passwortauthentifizierung zu verwalten, wenn Sie kleine Benutzergemeinschaften haben. Weil in diesem Fall Klartext-Passwörter generiert werden, die integriert werden mit AWS Secrets Manager kann die Sicherheit erhöhen.
Weitere Informationen zur Verwendung von Secrets Manager mit Amazon RDS finden Sie unter Erstellen eines Basis-Secrets und Rotierende Secrets für unterstützte Amazon-RDS-Datenbanken im AWS Secrets Manager -Benutzerhandbuch. Informationen zum programmgesteuerten Abrufen Ihrer Secrets in Ihren benutzerdefinierten Anwendungen finden Sie unter Abrufen des Secret-Werts im AWS Secrets Manager -Benutzerhandbuch.
IAM-Datenbankauthentifizierung
Sie können sich mit der AWS Identity and Access Management (IAM)-Datenbankauthentifizierung bei DB-Instances authentifizieren. Mit dieser Authentifizierungsmethode benötigen Sie kein Passwort, um eine Verbindung mit DB-Instances herzustellen. Stattdessen verwenden Sie ein Authentifizierungstoken.
Weitere Hinweise zur IAM-Datenbankauthentifizierung, einschließlich Informationen zur Verfügbarkeit bestimmter DB-Engines, finden Sie unter IAM-Datenbankauthentifizierung für MariaDB, MySQL und PostgreSQL .
Kerberos-Authentifizierung
Amazon RDS unterstützt die externe Authentifizierung von Datenbankbenutzern über Kerberos und Microsoft Active Directory. Kerberos ist ein Netzwerk-Authentifizierungsprotokoll, das Tickets und symmetrische Schlüsselkryptographie verwendet, um die Notwendigkeit der Übertragung von Passwörtern über das Netzwerk zu vermeiden. Kerberos wurde in Active Directory integriert und wurde entwickelt, um Benutzer gegenüber Netzwerkressourcen wie Datenbanken zu authentifizieren.
Die Amazon-RDS-Unterstützung für Kerberos und Active Directory bietet die Vorteile des Single Sign-Ons und der zentralisierten Authentifizierung von Datenbankbenutzern. Sie können Ihre Benutzeranmeldeinformationen in Active Directory speichern. Active Directory bietet einen zentralen Ort für die Speicherung und Verwaltung von Anmeldeinformationen für mehrere DB-Instances.
Um Anmeldeinformationen aus Ihrem selbstverwalteten Active Directory verwenden zu können, müssen Sie eine Vertrauensstellung zu dem einrichten Directory Service für Microsoft Active Directory ist das DB-Instance ist verbunden mit.
RDS für PostgreSQL unterstützt unidirektionale und bidirektionale Vertrauensbeziehungen mit gesamtstrukturweiter Authentifizierung oder selektiver Authentifizierung.
In einigen Szenarien können Sie die Kerberos-Authentifizierung über eine externe Vertrauensstellung konfigurieren. Dazu muss Ihr selbstverwaltetes Active Directory über zusätzliche Einstellungen verfügen. Dies beinhaltet, ist aber nicht beschränkt auf Kerberos Forest Search Order
DB-Instances von Microsoft SQL Server und PostgreSQL unterstützen uni- und bidirektionale Gesamtstruktur-Vertrauensstellungen. Oracle-DB-Instances unterstützen uni- und bidirektionale externe und Gesamtstruktur-Vertrauensstellungen. Weitere Informationen finden Sie unter Zeitpunkt zum Erstellen einer Vertrauensstellung im Directory Service -Administrationshandbuch.
Informationen zur Kerberos-Authentifizierung mit einer bestimmten Engine finden Sie im Folgenden:
Anmerkung
Derzeit wird die Kerberos-Authentifizierung für MariaDB DB-Instances nicht unterstützt.
Active Directory-Authentifizierung für RDS für MySQL
RDS for MySQL unterstützt die externe Authentifizierung von Datenbankbenutzern mithilfe von Microsoft Active Directory. Dies ermöglicht eine zentrale Verwaltung der Anmeldeinformationen. Sie können Ihre Benutzeranmeldeinformationen in Active Directory speichern, anstatt sie separat in der Datenbank zu verwalten. Verwenden Sie die Active Directory-Authentifizierung, wenn Sie Benutzer bereits zentral in Active Directory verwalten und vermeiden möchten, separate Datenbankanmeldeinformationen zu verwalten.
RDS for MySQL verwendet die kennwortbasierte Active Directory-Authentifizierung über PAM (Pluggable Authentication Modules). Wenn ein Benutzer eine Verbindung herstellt, fordert der MySQL-Client das AD-Passwort des Benutzers auf. Der Client sendet dann das Passwort an die DB-Instance. Die DB-Instance überprüft das Passwort anhand Ihrer Active Directory-Domäne.
Wichtig
Wir empfehlen dringend, Folgendes zu verlangen SSL/TLS verschlüsselte Verbindungen für alle aktiven Directory-authenticated Verbindungen zum Schutz des Passworts während der Übertragung. Detaillierte Anweisungen finden Sie unter Verschlüsselung von Client-Verbindungen mit SSL/TLS MySQL-DB-Instances auf Amazon RDS.
Anweisungen zum Einrichten der Active Directory-Authentifizierung, einschließlich der Vertrauensbeziehungen, die für die Verwendung von Anmeldeinformationen aus einem selbstverwalteten Active Directory erforderlich sind, finden Sie unter Verwenden der Active Directory-Authentifizierung für Amazon RDS for MySQL.
