Otentikasi database dengan Amazon RDS

Amazon RDS mendukung beberapa cara untuk mengotentikasi pengguna database.

Password, Kerberos, Active Directory, dan otentikasi database IAM menggunakan metode otentikasi yang berbeda ke database. Oleh karena itu, pengguna tertentu dapat masuk ke basis data dengan menggunakan hanya satu metode autentikasi.

Untuk PostgreSQL, gunakan hanya salah satu dari setelah peran berikut untuk pengguna basis data tertentu:

• Untuk menggunakan autentikasi basis data IAM, tetapkan peran rds_iam untuk pengguna.

• Untuk menggunakan autentikasi Kerberos, tetapkan peran rds_ad untuk pengguna.

• Untuk menggunakan autentikasi kata sandi, jangan tetapkan peran rds_iam atau rds_ad untuk pengguna.

Jangan tetapkan kedua peran rds_iam dan rds_ad untuk pengguna basis data PostgreSQL baik secara langsung maupun tidak langsung dengan akses pemberian bersarang. Jika peran rds_iam ditambahkan ke pengguna master, autentikasi IAM diutamakan atas autentikasi kata sandi sehingga pengguna master harus masuk sebagai pengguna IAM.

penting

Sebaiknya jangan gunakan pengguna master secara langsung di aplikasi Anda. Sebagai gantinya, ikuti praktik terbaik penggunaan pengguna basis data yang dibuat dengan privilese minimal yang diperlukan untuk aplikasi Anda.

Autentikasi kata sandi

Dengan autentikasi kata sandi, basis data Anda melakukan semua administrasi akun pengguna. Anda membuat pengguna dengan pernyataan SQL seperti CREATE USER, dengan klausa yang tepat yang diperlukan oleh mesin basis data untuk menentukan kata sandi. Misalnya, dalam MySQL pernyataannya adalah CREATE USER name IDENTIFIED BY password, sementara di PostgreSQL, pernyataannya adalah CREATE USER name WITH PASSWORD password.

Dengan autentikasi kata sandi, basis data Anda mengendalikan dan mengautentikasi akun pengguna. Jika mesin basis data memiliki fitur pengelolaan kata sandi kuat, mesin itu dapat meningkatkan keamanan. Autentikasi basis data mungkin lebih mudah dikelola dengan menggunakan autentikasi kata sandi apabila komunitas pengguna Anda kecil. Karena kata sandi teks yang jelas dihasilkan dalam kasus ini, mengintegrasikan dengan AWS Secrets Manager dapat meningkatkan keamanan.

Untuk informasi tentang menggunakan Secrets Manager dengan Amazon RDS , lihat Membuat rahasia dasar dan Memutar rahasia untuk database Amazon RDS yang didukung di AWS Secrets Manager Panduan Pengguna. Lihat informasi tentang cara mengambil rahasia secara terprogram pada aplikasi kustom Anda di Mengambil nilai rahasia dalam Panduan Pengguna AWS Secrets Manager .

Autentikasi basis data IAM

Anda dapat mengotentikasi ke DB Anda contoh memakai AWS Identity and Access Management (IAM) otentikasi basis data. Dengan metode otentikasi ini, Anda tidak perlu menggunakan kata sandi saat terhubung ke DB contoh . Sebagai gantinya, Anda menggunakan token autentikasi.

Untuk informasi selengkapnya tentang otentikasi database IAM, termasuk informasi tentang ketersediaan untuk mesin DB tertentu, lihat Autentikasi basis data IAM untuk MariaDB, MySQL, dan PostgreSQL .

Autentikasi Kerberos

Amazon RDS mendukung otentikasi eksternal pengguna database menggunakan Kerberos dan Microsoft Active Directory. Kerberos adalah protokol autentikasi jaringan yang menggunakan tiket dan kriptografi kunci simetris untuk menghilangkan kebutuhan mengirim kata sandi melalui jaringan. Kerberos telah tertanam ke dalam Active Directory dan dirancang untuk mengautentikasi pengguna ke sumber daya jaringan, seperti basis data.

Amazon RDS dukungan untuk Kerberos dan Active Directory memberikan manfaat dari single sign-on dan otentikasi terpusat pengguna database. Anda dapat menyimpan kredensial pengguna Anda di Active Directory. Active Directory menyediakan tempat terpusat untuk menyimpan dan mengelola kredenSIAL untuk beberapa DB contoh .

Untuk menggunakan kredenSIAL dari Direktori Aktif yang dikelola sendiri, Anda perlu menyiapkan hubungan kepercayaan ke Directory Service untuk Microsoft Active Directory yang Instans DB bergabung dengan.

Dukungan RDS untuk PostgreSQL hubungan kepercayaan hutan satu arah dan dua arah dengan otentikasi seluruh hutan atau otentikasi selektif.

Dalam beberapa skenario, Anda dapat mengonfigurasi otentikasi Kerberos melalui hubungan kepercayaan eksternal. Ini mengharuskan Direktori Aktif Anda yang dikelola sendiri untuk memiliki pengaturan tambahan. Ini termasuk tetapi tidak terbatas pada Urutan Pencarian Hutan Kerberos.

Instans Microsoft SQL Server dan PostgreSQL DB mendukung hubungan kepercayaan hutan satu arah dan dua arah. Instans Oracle DB mendukung hubungan kepercayaan eksternal dan hutan satu arah dan dua arah. Lihat informasi yang lebih lengkap di Kapan sebaiknya menciptakan hubungan kepercayaan dalam Panduan Administrasi Directory Service .

Lihat informasi tentang autentikasi Kerberos dengan mesin basis data tertentu di:

• Bekerja dengan AWS Direktori Aktif Terkelola dengan RDS untuk SQL Server

• Bekerja dengan AWS Direktori Aktif Terkelola dengan Amazon RDS untuk instans Oracle DB

• Menggunakan otentikasi Kerberos dengan Amazon RDS for PostgreSQL

• Bekerja dengan AWS Direktori Aktif Terkelola dengan RDS untuk Db2 .

catatan

Saat ini, autentikasi Kerberos tidak didukung untuk instans basis data MariaDB.

Otentikasi Direktori Aktif untuk RDS untuk MySQL

RDS untuk MySQL mendukung otentikasi eksternal pengguna database menggunakan Microsoft Active Directory. Ini memungkinkan manajemen kredensia terpusat. Anda dapat menyimpan kredentif pengguna Anda di Active Directory alih-alih mengelolanya secara terpisah di database. Gunakan otentikasi Active Directory saat Anda sudah mengelola pengguna secara terpusat di Active Directory dan ingin menghindari mempertahankan kredentif database terpisah.

RDS untuk MySQL menggunakan otentikasi Active Directory berbasis kata sandi melalui PAM (Pluggable Authentication Modules). Ketika pengguna terhubung, klien MySQL meminta kata sandi AD pengguna. Klien kemudian mengirimkan kata sandi ke instance DB. Instans DB memverifikasi kata sandi terhadap domain Active Directory Anda.

penting

Kami sangat menyarankan membutuhkan SSL/TLS koneksi terenkripsi untuk semua Aktif Directory-authenticated koneksi untuk melindungi kata sandi saat transit. Untuk petunjuk, lihat Mengenkripsi koneksi klien dengan inst SSL/TLS ans MySQL DB di Amazon RDS.

Untuk petunjuk tentang cara mengatur otentikasi Active Directory, termasuk hubungan kepercayaan yang diperlukan untuk menggunakan kredenSIAL dari Active Directory yang dikelola sendiri, lihat Menggunakan otentikasi Active Directory untuk Amazon RDS untuk MySQL.