在 Aurora PostgreSQL 中使用 Kerberos 身份验证

在用户连接到运行 PostgreSQL 的数据库集群时，您可以使用 Kerberos 对用户进行身份验证。为此，请将数据库集群配置为使用 Amazon Directory Service for Microsoft Active Directory 进行 Kerberos 身份验证。Amazon Directory Service for Microsoft Active Directory 也称为 Amazon Managed Microsoft AD。这是 Amazon Directory Service 提供的一项功能。要了解更多信息，请参阅《Amazon Directory Service 管理指南》中的什么是 Amazon Directory Service？

要开始操作，请创建一个 Amazon Managed Microsoft AD 目录来存储用户凭证。然后，将 Active Directory 的域和其他信息提供给 PostgreSQL 数据库集群。当用户使用 PostgreSQL 数据库集群进行身份验证时，身份验证请求将转发到 Amazon Managed Microsoft AD 目录。

将所有凭证保存在同一目录中可以节省您的时间和精力。您具有一个集中位置用于存储和管理多个数据库集群的凭证。使用目录还可以改善您的整体安全概要。

此外，还可以从自己的本地 Microsoft Active Directory 访问凭证。为此，请创建一个信任域关系，以便 Amazon Managed Microsoft AD 目录信任您的本地 Microsoft Active Directory。通过这种方式，您的用户可以使用 Windows 单点登录 (SSO) 访问 PostgreSQL 集群，获得与访问本地网络中的工作负载相同的体验。

数据库可以使用 Kerberos、Amazon Identity and Access Management (IAM)，或同时使用 Kerberos 和 IAM 身份验证。但是，由于 Kerberos 和 IAM 身份验证提供了不同的身份验证方法，因此，特定数据库用户只能使用一种或另一种身份验证方法登录数据库，但不能同时使用这两种方法。有关 IAM 身份验证的更多信息，请参阅 的 IAM 数据库身份验证。

区域和版本可用性

特征可用性和支持因每个数据库引擎的特定版本以及 Amazon Web Services 区域而异。有关使用 Kerberos 身份验证的 Aurora PostgreSQL 的版本和区域可用性的更多信息，请参阅 适用于 Aurora PostgreSQL 的 Kerberos 身份验证。

PostgreSQL 数据库集群的 Kerberos 身份验证概述

要为 PostgreSQL 数据库集群设置 Kerberos 身份验证，请执行以下步骤，稍后将详细介绍这些步骤：