IKLAN FS

Tutorial ini menunjukkan kepada Anda bagaimana Anda dapat menggunakan AD FS sebagai penyedia identitas (iDP) untuk mengakses klaster Amazon Redshift Anda.

Langkah 1: Siapkan AD FS dan AWS akun Anda untuk saling percaya

Prosedur berikut menjelaskan cara mengatur hubungan kepercayaan.

1. Buat atau gunakan klaster Amazon Redshift yang ada agar pengguna AD FS dapat terhubung. Untuk mengkonfigurasi koneksi, properti tertentu dari cluster ini diperlukan, seperti pengidentifikasi cluster. Untuk informasi selengkapnya, lihat Membuat Cluster.

2. Siapkan AD FS untuk mengontrol akses Amazon Redshift di Konsol Manajemen Microsoft:

   1. Pilih ADFS 2.0, lalu pilih Add Relying Party Trust. Pada halaman Add Relying Party Trust Wizard, pilih Mulai.

   2. Pada halaman Pilih Sumber Data, pilih Impor data tentang pihak yang mengandalkan yang dipublikasikan secara online atau di jaringan lokal.

   3. Untuk alamat metadata Federasi (nama host atau URL), masukkan. https://signin.aws.amazon.com/saml-metadata.xml File XHTML metadata adalah dokumen metadata SAMP standar yang menggambarkan sebagai pihak yang mengandalkan. AWS

   4. Pada halaman Tentukan Nama Tampilan, masukkan nilai untuk Nama tampilan.

   5. Pada halaman Pilih Aturan Otorisasi Penerbitan, pilih aturan otorisasi penerbitan untuk mengizinkan atau menolak semua pengguna mengakses pihak yang bergantung ini.

   6. Pada halaman Siap Tambah Kepercayaan, tinjau pengaturan Anda.

   7. Pada halaman Selesai, pilih Buka dialog Edit Aturan Klaim untuk kepercayaan pihak yang mengandalkan ini saat wizard ditutup.

   8. Pada menu konteks (klik kanan), pilih Mengandalkan Perwalian Partai.

   9. Untuk pihak yang mengandalkan Anda, buka menu konteks (klik kanan) dan pilih Edit Aturan Klaim. Pada halaman Edit Aturan Klaim, pilih Tambah Aturan.

   10. Untuk templat aturan Klaim, pilih Ubah Klaim Masuk, lalu pada NameId halaman Edit Aturan —, lakukan hal berikut:

       • Untuk nama aturan Klaim, masukkan NameId.

       • Untuk Nama klaim masuk, pilih Nama Akun Windows.

       • Untuk Nama klaim keluar, pilih ID Nama.

       • Untuk format ID nama keluar, pilih Persistent Identifier.

       • Pilih Lewati semua nilai klaim.

   11. Pada halaman Edit Aturan Klaim, pilih Tambah Aturan. Pada halaman Pilih Templat Aturan, untuk templat aturan Klaim, pilih Kirim Atribut LDAP sebagai Klaim.

   12. Pada halaman Konfigurasi Aturan, lakukan hal berikut:

       • Untuk nama aturan Klaim, masukkan RoleSessionName.

       • Untuk toko Atribut, pilih Active Directory.

       • Untuk Atribut LDAP, pilih Alamat Email.

       • Untuk Jenis Klaim Keluar, pilihhttps://aws.amazon.com/SAML/Attributes/RoleSessionName.

   13. Pada halaman Edit Aturan Klaim, pilih Tambah Aturan. Pada halaman Pilih Templat Aturan, untuk templat aturan Klaim, pilih Kirim Klaim Menggunakan Aturan Kustom.

   14. Pada halaman Aturan Edit — Dapatkan Grup IKLAN, untuk nama aturan Klaim, masukkan Dapatkan Grup IKLAN.

   15. Untuk aturan Kustom, masukkan yang berikut ini.

       c:[Type ==
                                           "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname",
                                           Issuer == "AD AUTHORITY"] => add(store = "Active Directory",
                                           types = ("http://temp/variable"), query = ";tokenGroups;{0}",
                                           param = c.Value);

   16. Pada halaman Edit Aturan Klaim, pilih Tambah Aturan. Pada halaman Pilih Templat Aturan, untuk templat aturan Klaim, pilih Kirim Klaim Menggunakan Aturan Kustom.

   17. Pada halaman Edit Aturan — Peran, untuk nama aturan Klaim, ketik Peran.

   18. Untuk aturan Kustom, masukkan yang berikut ini.

       c:[Type == "http://temp/variable", Value =~ "(?i)^AWS-"] => issue(Type = "https://aws.amazon.com/SAML/Attributes/Role", Value = RegExReplace(c.Value, "AWS-", "arn:aws:iam::123456789012:saml-provider/ADFS,arn:aws:iam::123456789012:role/ADFS-"));

       Perhatikan penyedia SAFL dan peran yang harus diasumsikan. ARNs Dalam contoh ini, arn:aws:iam:123456789012:saml-provider/ADFS adalah ARN dari penyedia SAMP dan merupakan ARN arn:aws:iam:123456789012:role/ADFS- dari peran tersebut.

3. Pastikan Anda telah mengunduh federationmetadata.xml file tersebut. Periksa apakah isi dokumen tidak memiliki karakter yang tidak valid. Ini adalah file metadata yang Anda gunakan saat mengonfigurasi hubungan kepercayaan. AWS

4. Buat penyedia identitas SAMP IAM di konsol IAM. Dokumen metadata. yang Anda berikan adalah file XHTML metadata federasi yang Anda simpan saat Anda menyiapkan Aplikasi Azure Enterprise. Untuk langkah-langkah mendetail, lihat Membuat dan Mengelola Penyedia Identitas IAM (Konsol) di Panduan Pengguna IAM.

5. Buat peran IAM untuk federasi SAFL 2.0 di konsol IAM. Untuk langkah-langkah mendetail, lihat Membuat Peran untuk SAMP di Panduan Pengguna IAM.

6. Buat kebijakan IAM yang dapat Anda lampirkan ke peran IAM yang Anda buat untuk federasi SAMP 2.0 di konsol IAM. Untuk langkah-langkah mendetail, lihat Membuat Kebijakan IAM (Konsol) di Panduan Pengguna IAM. Untuk contoh Azure AD, lihatMenyiapkan otentikasi masuk tunggal JDBC atau ODBC.

Langkah 2: Siapkan JDBC atau ODBC untuk otentikasi ke AD FS

JDBC

Prosedur berikut menjelaskan cara mengatur hubungan JDBC ke AD FS.

• Konfigurasikan klien database Anda untuk terhubung ke cluster Anda melalui JDBC menggunakan sistem masuk tunggal AD FS.

  Anda dapat menggunakan klien apa pun yang menggunakan driver JDBC untuk terhubung menggunakan sistem masuk tunggal AD FS atau menggunakan bahasa seperti Java untuk terhubung menggunakan skrip. Untuk informasi instalasi dan konfigurasi, lihatMengkonfigurasi koneksi untuk driver JDBC versi 2.1 untuk Amazon Redshift.

  Misalnya, Anda dapat SQLWorkbench menggunakan/J sebagai klien. Ketika Anda mengkonfigurasi SQLWorkbench /J, URL database Anda menggunakan format berikut.

  jdbc:redshift:iam://cluster-identifier:us-west-1/dev

  Jika Anda menggunakan SQLWorkbench /J sebagai klien, lakukan langkah-langkah berikut:

  1. Mulai SQL Workbench/J. Di halaman Select Connection Profile, tambahkan Profil Grup, misalnya. ADFS

  2. Untuk Profil Koneksi, masukkan nama profil koneksi Anda, misalnyaADFS.

  3. Pilih Kelola Driver, dan pilih Amazon Redshift. Pilih ikon Open Folder di sebelah Library, lalu pilih file JDBC .jar yang sesuai.

  4. Pada halaman Pilih Profil Koneksi, tambahkan informasi ke profil koneksi sebagai berikut:

     • Untuk Pengguna, masukkan nama pengguna AD FS Anda. Ini adalah nama pengguna akun yang Anda gunakan untuk sistem masuk tunggal yang memiliki izin ke klaster yang Anda coba autentikasi.

     • Untuk Kata Sandi, masukkan kata sandi AD FS Anda.

     • Untuk Driver, pilih Amazon Redshift (com.amazon.redshift.jdbc.driver).

     • Untuk URL, masukkanjdbc:redshift:iam://your-cluster-identifier:your-cluster-region/your-database-name.

  5. Pilih Extended Properties. Untuk plugin_name, masukkan. com.amazon.redshift.plugin.AdfsCredentialsProvider Nilai ini menentukan driver untuk menggunakan sistem masuk tunggal AD FS sebagai metode otentikasi.

ODBC

Untuk mengatur ODBC untuk otentikasi ke AD FS

• Konfigurasikan klien database Anda untuk terhubung ke klaster Anda melalui ODBC menggunakan sistem masuk tunggal AD FS.

  Amazon Redshift menyediakan driver ODBC untuk sistem operasi Linux, Windows, dan macOS. Sebelum Anda menginstal driver ODBC, tentukan apakah alat klien SQL Anda 32-bit atau 64-bit. Instal driver ODBC yang sesuai dengan persyaratan alat klien SQL Anda.

  Di Windows, di halaman Pengaturan DSN Driver Amazon Redshift ODBC, di bawah Pengaturan Koneksi, masukkan informasi berikut:

  • Untuk Nama Sumber Data, masukkanyour-DSN. Ini menentukan nama sumber data yang digunakan sebagai nama profil ODBC.

  • Untuk jenis Auth, pilih Penyedia Identitas: SAMP. Ini adalah metode otentikasi yang digunakan driver ODBC untuk mengautentikasi menggunakan sistem masuk tunggal AD FS.

  • Untuk ID Cluster, masukkanyour-cluster-identifier.

  • Untuk Wilayah, masukkanyour-cluster-region.

  • Untuk Database, masukkanyour-database-name.

  • Untuk Pengguna, masukkanyour-adfs-username. Ini adalah nama pengguna untuk akun AD FS yang Anda gunakan untuk sistem masuk tunggal yang memiliki izin ke klaster yang Anda coba autentikasi. Gunakan ini hanya untuk jenis Auth adalah Penyedia Identitas: SAMP.

  • Untuk Kata Sandi, masukkanyour-adfs-password. Gunakan ini hanya untuk jenis Auth adalah Penyedia Identitas: SAMP.

  Di macOS dan Linux, edit odbc.ini file sebagai berikut:

  catatan

  Semua entri tidak peka huruf besar/kecil.

  • Untuk clusterid, masukkan. your-cluster-identifier Ini adalah nama cluster Amazon Redshift yang dibuat.

  • Untuk wilayah, masukkanyour-cluster-region. Ini adalah AWS Wilayah cluster Amazon Redshift yang dibuat.

  • Untuk database, masukkanyour-database-name. Ini adalah nama database yang Anda coba akses di cluster Amazon Redshift.

  • Untuk lokal, masukkanen-us. Ini adalah bahasa yang menampilkan pesan kesalahan.

  • Untuk iam, masukkan1. Nilai ini menentukan driver untuk mengautentikasi menggunakan kredensyal IAM.

  • Untuk plugin_name, lakukan salah satu hal berikut:

    • Untuk proses masuk tunggal AD FS dengan konfigurasi MFA, masukkan. BrowserSAML Ini adalah metode otentikasi yang digunakan driver ODBC untuk mengautentikasi ke AD FS.

    • Untuk konfigurasi masuk tunggal AD FS, masukkan. ADFS Ini adalah metode otentikasi yang digunakan driver ODBC untuk mengautentikasi menggunakan sistem masuk tunggal Azure AD.

  • Untuk uid, masukkanyour-adfs-username. Ini adalah nama pengguna akun Microsoft Azure yang Anda gunakan untuk sistem masuk tunggal yang memiliki izin ke cluster yang Anda coba autentikasi. Gunakan ini hanya untuk plugin_name adalah ADFS.

  • Untuk pwd, masukkan. your-adfs-password Gunakan ini hanya untuk plugin_name adalah ADFS.

  Di macOS dan Linux, edit juga pengaturan profil untuk menambahkan ekspor berikut.

  export ODBCINI=/opt/amazon/redshift/Setup/odbc.ini

  export ODBCINSTINI=/opt/amazon/redshift/Setup/odbcinst.ini