Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Otentikasi Kerberos dengan Active Directory dengan Amazon RDS untuk Oracle
Sekarang Anda dapat menggunakan autentikasi Kerberos untuk mengautentikasi pengguna saat mereka terhubung ke instans DB Amazon RDS for Oracle Anda. Dalam konfigurasi ini, instance DB Anda bekerja dengan Active Directory. Saat pengguna melakukan otentikasi dengan RDS untuk instance Oracle DB yang bergabung ke domain, permintaan otentikasi diteruskan ke direktori tempat instance DB digabungkan: direktori yang Anda buat dengan Directory Service, atau domain Direktori Aktif yang dikelola sendiri.
Menyimpan semua kredensial di direktori yang sama dapat menghemat waktu serta tenaga Anda. Anda memiliki tempat terpusat untuk menyimpan dan mengelola kredensial untuk beberapa instans basis data. Direktori juga dapat meningkatkan profil keamanan keseluruhan Anda.
Domain Active Directory Anda dapat di-host di Directory Service untuk Microsoft Active Directory, juga disebut sebagai AWS Microsoft AD yang dikelola, di dalam AWS, atau di Direktori Aktif yang dikelola sendiri di lokasi pilihan Anda, termasuk pusat data perusahaan Anda, di Amazon Elastic Compute Cloud (Amazon EC2), atau dengan penyedia cloud lainnya.
catatan
Microsoft Entra ID (sebelumnya Azure Active Directory) adalah layanan identitas berbasis cloud, bukan domain Active Directory Domain Services (AD DS). Self-managed Active Directory memerlukan domain AD DS yang menyediakan otentikasi Kerberos, sehingga Anda tidak dapat menggabungkan instans RDS untuk Oracle DB ke Microsoft Entra ID dengan menggunakan Direktori Aktif yang dikelola sendiri.
Di bagian berikut, Anda dapat menemukan informasi tentang bekerja dengan AWS Direktori Aktif Terkelola dan Direktori Aktif yang dikelola sendiri untuk Amazon RDS untuk Oracle.
Topik
Memilih antara AD yang dikelola sendiri dan AWS Microsoft AD yang Dikelola
Anda dapat menggabungkan instance RDS untuk Oracle DB ke domain Active Directory yang dikelola sendiri atau ke AWS Direktori Microsoft AD yang dikelola. Dengan salah satu opsi, pengguna database Anda masuk dengan kredentif Direktori Aktif mereka melalui sistem masuk tunggal Kerberos. Kedua opsi menggunakan model pengguna Oracle yang sama (CREATE USER ... IDENTIFIED EXTERNALLY) dan konfigurasi klien Kerberos yang sama. Perbedaannya adalah direktori mana yang bergabung dengan instance DB dan kredenSIAL mana yang digunakan Amazon RDS untuk bergabung dengannya.
Pilih AD yang dikelola sendiri ketika pengguna dan akun layanan Anda sudah berada di domain AD yang Anda jalankan di tempat, di Amazon EC2, atau dengan penyedia cloud lain, dan Anda ingin instans DB bergabung dengan domain tersebut secara langsung. Karena instance DB bergabung dengan domain Anda yang ada, Anda tidak membayar atau mengoperasikan AWS Direktori Microsoft AD terkelola, dan Anda tidak perlu membuat trust hutan. Untuk menggunakan opsi ini, Anda mengatur konektivitas jaringan dari cloud pribadi virtual (VPC) ke pengontrol domain Anda. Anda juga menyediakan akun layanan domain AD yang telah mendelegasikan izin pada Unit Organisasi (OU). Amazon RDS menggunakan akun ini untuk bergabung dengan instance DB ke domain Anda.
Pilih AWS Microsoft AD yang dikelola ketika Anda ingin AWS untuk menjalankan pengontrol domain untuk Anda, atau ketika Anda sudah menggunakan AWS Direktori Microsoft AD yang dikelola dengan yang lain AWS layanan.
Tabel berikut merangkum perbedaannya.
| Item | AWS Microsoft AD yang dikelola | Self-managed IKLAN |
|---|---|---|
| Direktori | Directory Service direktori di akun Anda | Domain AD Anda sendiri (di tempat, di Amazon EC2, atau di cloud lain) |
| KredenSIAL yang digunakan Amazon RDS | Peran IAM dengan AmazonRDSDirectoryServiceAccess kebijakan yang dikelola |
Akun layanan domain AD disimpan dalam rahasia Manajer Rahasia yang dienkripsi dengan Anda AWS KMS kunci |
| AWS Parameter CLI | --domain, --domain-iam-role-name |
--domain-fqdn, --domain-ou, --domain-auth-secret-arn, --domain-dns-ips |
