Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Autenticazione Kerberos con Active Directory con Amazon RDS per Oracle
Puoi utilizzare l'autenticazione Kerberos per autenticare gli utenti quando si connettono all'istanza database di Amazon RDS per Oracle. In questa configurazione, l'istanza DB funziona con Active Directory. Quando gli utenti si autenticano con un'istanza DB RDS for Oracle unita a un dominio, le richieste di autenticazione vengono inoltrate alla directory a cui è unita l'istanza DB: una directory creata con Servizio di directory o il tuo dominio Active Directory autogestito.
Mantenere tutte le credenziali nella stessa directory consente di ridurre il tempo e l'impegno. È disponibile una posizione centralizzata per archiviare e gestire le credenziali per più istanze database. L'uso di una directory può inoltre migliorare il profilo di sicurezza complessivo.
Il tuo dominio Active Directory può essere ospitato su Servizio di directory per Microsoft Active Directory, noto anche come AWS Microsoft AD gestito, all'interno AWS o su un Active Directory autogestito in una posizione a tua scelta, compresi i tuoi data center aziendali, su Amazon Elastic Compute Cloud (Amazon EC2) o con altri provider di cloud.
Nota
Microsoft Entra ID (in precedenza Azure Active Directory) è un servizio di identità basato sul cloud, non un dominio Active Directory Domain Services (AD DS). Self-managed Active Directory richiede un dominio AD DS che fornisca l'autenticazione Kerberos, quindi non è possibile aggiungere un'istanza DB RDS for Oracle all'ID Microsoft Entra utilizzando Active Directory autogestito.
Nelle sezioni seguenti, è possibile trovare informazioni su come lavorare con AWS Active Directory gestito e Active Directory autogestito per Amazon RDS per Oracle.
Argomenti
Scelta tra AD autogestito e AWS Microsoft AD gestito
È possibile aggiungere un'istanza DB RDS for Oracle a un dominio Active Directory autogestito o a un AWS Directory Microsoft AD gestita. Con entrambe le opzioni, gli utenti del database accedono con le proprie credenziali di Active Directory tramite Kerberos Single Sign-on. Entrambe le opzioni utilizzano lo stesso modello utente Oracle (CREATE USER ... IDENTIFIED EXTERNALLY) e la stessa configurazione del client Kerberos. La differenza è la directory a cui si unisce l'istanza DB e le credenziali utilizzate da Amazon RDS per accedervi.
Scegli AD autogestito quando gli utenti e gli account di servizio si trovano già in un dominio AD eseguito in locale, su Amazon EC2 o presso un altro provider cloud e desideri che l'istanza DB si unisca direttamente a quel dominio. Poiché l'istanza DB si unisce al tuo dominio esistente, non paghi né gestisci un AWS Directory Microsoft AD gestita e non è necessario creare un trust forestale. Per utilizzare questa opzione, è necessario configurare la connettività di rete dal cloud privato virtuale (VPC) ai controller di dominio. Fornisci anche un account del servizio di dominio AD con autorizzazioni delegate su un'unità organizzativa (OU). Amazon RDS utilizza questo account per aggiungere l'istanza DB al tuo dominio.
Scegli AWS Microsoft AD gestito quando vuoi AWS per eseguire i controller di dominio per te o quando usi già un AWS Directory Microsoft AD gestita con altri AWS servizi.
La tabella seguente riassume le differenze.
| Elemento | AWS Microsoft AD gestito | Self-managed ANNUNCIO |
|---|---|---|
| Directory | Servizio di directory directory nel tuo account | Il tuo dominio AD (in locale, su Amazon EC2 o in un altro cloud) |
| Credenziali utilizzate da Amazon RDS | Ruolo IAM con AmazonRDSDirectoryServiceAccess politica gestita |
Account del servizio di dominio AD memorizzato in un Secrets Manager segreto crittografato con il tuo AWS KMS chiave |
| AWS parametri CLI | --domain, --domain-iam-role-name |
--domain-fqdn, --domain-ou, --domain-auth-secret-arn, --domain-dns-ips |
