Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

将 Kerberos 身份验证用于 RDS for Db2

当用户连接到 Amazon RDS for Db2 数据库实例时，您可以使用 Kerberos 身份验证来验证用户的身份。您的数据库实例与 Amazon Directory Service for Microsoft Active Directory（Amazon Managed Microsoft AD）结合使用以启用 Kerberos 身份验证。当用户对加入到信任域的 RDS for Db2 数据库实例进行身份验证时，身份验证请求将转发至您使用 Amazon Directory Service 创建的目录。有关更多信息，请参阅《Amazon Directory Service 管理员指南》中的什么是 Amazon Directory Service？。

首先，创建一个 Amazon Managed Microsoft AD 目录来存储用户凭证。然后，将您的 Amazon Managed Microsoft AD 目录中的域和其它信息添加到 RDS for Db2 数据库实例。当用户使用 RDS for Db2 数据库实例进行身份验证时，身份验证请求将转发到 Amazon Managed Microsoft AD 目录。

将所有凭证保存在同一目录中可以节省您的时间和精力。使用这种方法，您具有一个集中位置用于存储和管理多个数据库实例的凭证。使用目录还可以改善您的整体安全概要。

区域和版本可用性

特征可用性和支持因每个数据库引擎的特定版本以及 Amazon Web Services 区域而异。有关使用 Kerberos 身份验证的 RDS for Db2 的版本和区域可用性的更多信息，请参阅Kerberos 身份验证。

RDS for Db2 数据库实例的 Kerberos 身份验证概述

要为 RDS for Db2 数据库实例设置 Kerberos 身份验证，请完成以下一般步骤，稍后将详细介绍这些步骤：

为 RDS for Db2 数据库实例设置 Kerberos 身份验证

您可以使用 Amazon Directory Service for Microsoft Active Directory（Amazon Managed Microsoft AD）为 RDS for Db2 数据库实例设置 Kerberos 身份验证。要设置 Kerberos 身份验证，请按照以下步骤操作：

步骤 1：使用 Amazon Managed Microsoft AD 创建目录

Amazon Directory Service 在 Amazon Web Services 云 中创建完全托管式 Active Directory。在创建 Amazon Managed Microsoft AD 目录时，Amazon Directory Service 将创建两个域控制器和 DNS 服务器。目录服务器在 VPC 中的不同子网中创建。这种冗余有助于确保即使发生故障，目录仍可访问。

创建 Amazon Managed Microsoft AD 目录时，Amazon Directory Service 代表您执行以下任务：

在启动 Amazon Directory Service for Microsoft Active Directory 时，Amazon 创建一个组织单位（OU），其中包含目录的所有对象。此 OU（具有您在创建目录时输入的 NetBIOS 名称）位于域根目录中。此域根目录由 Amazon 拥有和管理。

使用 Admin 目录创建的 Amazon Managed Microsoft AD 账户有权为您的 OU 执行最常见的管理活动：

Admin 账户还有权执行以下域范围的活动：

目录创建需要几分钟时间。创建成功后，Status (状态) 值将更改为 Active (活动)。

要查看有关您的目录的信息，请在目录 ID 下选择目录 ID。记下目录 ID 值。创建或修改 RDS for Db2 数据库实例时需要此值。

步骤 2：为 Amazon RDS 创建 IAM 角色以访问 Amazon Directory Service

要使 Amazon RDS 为您调用 Amazon Directory Service，您的 Amazon Web Services 账户需要一个使用托管式 IAM policy AmazonRDSDirectoryServiceAccess 的 IAM 角色。该角色允许 Amazon RDS 调用 Amazon Directory Service。

当您使用 Amazon Web Services Management Console 创建数据库实例并且控制台用户账户具有 iam:CreateRole 权限时，控制台将自动创建所需的 IAM 角色。在这种情况下，角色名为 rds-directoryservice-kerberos-access-role。否则，您必须手动创建 IAM 角色。在创建该 IAM 角色时，请选择 Directory Service，然后将 Amazon 托管策略 AmazonRDSDirectoryServiceAccess 附加到该角色。

有关为服务创建 IAM 角色的更多信息，请参阅 IAM 用户指南中的创建向Amazon服务委托权限的角色。

作为使用 AmazonRDSDirectoryServiceAccess 托管式策略的替代方法，您可以创建具有所需权限的策略。在这种情况下，IAM 角色必须具有以下 IAM 信任策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

该角色还必须具有以下 IAM 角色策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

步骤 3：创建和配置用户

您可以使用 Active Directory Users and Computers 工具创建用户。这是 Active Directory Domain Services 和 Active Directory Lightweight Directory Services 工具之一。有关更多信息，请参阅 Microsoft 文档中的将用户和计算机添加到 Active Directory 域。在这种情况下，用户是个人或其它实体，例如属于域的计算机，其身份在目录中维护。

要在 Amazon Directory Service 目录中创建用户，您必须连接到属于 Amazon Directory Service 目录成员的基于 Windows 的 Amazon EC2 实例。同时，您必须以具有创建用户权限的用户身份登录。有关更多信息，请参阅 Amazon Directory Service 管理指南中的创建用户。

步骤 4：在 Amazon Managed Microsoft AD 中创建 RDS for Db2 管理员组

RDS for Db2 不支持对主用户或两个 Amazon RDS 保留用户 rdsdb 和 rdsadmin 进行 Kerberos 身份验证。相反，您需要在 Amazon Managed Microsoft AD 中创建一个名为 masterdba 的新组。有关更多信息，请参阅 Microsoft 文档中的在 Active Directory 中创建组账户。您添加到该组的任何用户都将拥有主用户权限。

启用 Kerberos 身份验证后，主用户将失去 masterdba 角色。因此，除非您禁用 Kerberos 身份验证，否则主用户将无法访问实例本地用户组成员资格。要继续使用带密码登录的主用户，请在 Amazon Managed Microsoft AD 上创建一个与主用户同名的用户。然后，将该用户添加到组 masterdba 中。

步骤 5：创建或修改 RDS for Db2 数据库实例

创建或修改 RDS for Db2 数据库实例，以便与您的目录一起使用。您可以使用 Amazon Web Services Management Console、Amazon CLI 或 RDS API 将数据库实例与目录关联。您可以通过下列方式之一来执行该操作：

只有 VPC 中的 RDS for Db2 数据库实例才支持 Kerberos 身份验证。数据库实例可以与目录在同一 VPC 中或在不同 VPC 中。数据库实例必须使用允许在目录的 VPC 中传入和传出的安全组，以便数据库实例可与目录通信。

步骤 6：配置 Db2 客户端

以下示例是 Amazon Managed Microsoft AD 的 /etc/krb5.conf 文件内容：

[libdefaults]
default_realm = EXAMPLE.COM
[realms]
EXAMPLE.COM = {
kdc = example.com
admin_server = example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM

在域中管理数据库实例

您可以使用 Amazon Web Services Management Console、Amazon CLI 或 RDS API 来管理数据库实例及其与 Microsoft Active Directory 的关系。例如，您可以关联 Active Directory 以启用 Kerberos 身份验证。您也可以删除 Active Directory 的关联以禁用 Kerberos 身份验证。您也可以将由一个 Microsoft Active Directory 在外部进行身份验证的数据库实例移到另一个 Active Directory。

例如，使用 modify-db-instance CLI 命令，您可以执行以下操作：

了解域成员资格

在创建或修改数据库实例后，它将成为域的成员。您可以在控制台中查看域成员资格的状态，也可以通过运行 describe-db-instances 命令来查看。数据库实例的状态可以是以下状态之一：

启用 Kerberos 身份验证的请求可能因网络连接问题或不正确的 IAM 角色而失败。在某些情况下，在创建或修改数据库实例时，尝试启用 Kerberos 身份验证可能会失败。如果发生这种情况，请确保使用正确的 IAM 角色，然后修改数据库实例以加入域。

通过 Kerberos 身份验证连接到 RDS for Db2