Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

为 Oracle 数据库实例设置 Kerberos 身份验证

使用 Amazon Directory Service for Microsoft Active Directory（也称为 Amazon Managed Microsoft AD）为 Oracle 数据库实例设置 Kerberos 身份验证。要设置 Kerberos 身份验证，请完成以下步骤：

步骤 1：使用 Amazon Managed Microsoft AD 创建目录

Amazon Directory Service 将在 Amazon 云中创建一个完全托管的 Active Directory。创建 Amazon Managed Microsoft AD 目录时，Amazon Directory Service 将代表您创建两个域控制器和域名系统 (DNS) 服务器。目录服务器在 VPC 中的不同子网中创建。这种冗余有助于确保始终可以访问目录，即使发生了故障。

创建 Amazon Managed Microsoft AD 目录时，Amazon Directory Service 代表您执行以下任务：

在启动 Amazon Managed Microsoft AD 时，Amazon 创建一个组织单位 (OU)，其中包含目录的所有对象。此 OU 具有您在创建目录时键入的 NetBIOS 名称且位于域根目录中。此域根目录由 Amazon 拥有和管理。

使用您的 Amazon Managed Microsoft AD 目录创建的 Admin 账户对您的 OU 的最常见管理活动具有以下权限：

Admin 账户还具有执行下列域范围活动的权限：

您可以使用 Amazon Web Services Management Console、Amazon CLI 或 Amazon Directory Service API 创建目录。确保打开目录安全组上的相关出站端口，以便目录可以与 Oracle 数据库实例进行通信。

目录创建需要几分钟时间。创建成功后，Status (状态) 值将更改为 Active (活动)。

要查看有关您的目录的信息，请在目录列表中选择目录名称。请记下 Directory ID (目录 ID) 值，因为您在创建或修改 Oracle 数据库实例时需要此值。

步骤 2：创建信任

如果您计划仅使用 Amazon Managed Microsoft AD，请转到步骤 3：配置 Amazon RDS 的 IAM 权限。

要使用本地或自托管式 Microsoft Active Directory 获取 Kerberos 身份验证，请创建林信任或外部信任。信任可以是单向或双向的。有关使用 Amazon Directory Service 设置林信任的更多信息，请参阅 Amazon Directory Service 管理指南 中的何时创建信任关系。

步骤 3：配置 Amazon RDS 的 IAM 权限

要为您调用 Amazon Directory Service，Amazon RDS 需要一个使用托管式 IAM policy AmazonRDSDirectoryServiceAccess 的 IAM 角色。该角色允许 Amazon RDS 调用 Amazon Directory Service。

创建 IAM 角色

当您使用 Amazon Web Services Management Console创建数据库实例并且控制台用户具有 iam:CreateRole 权限时，控制台将自动创建 rds-directoryservice-kerberos-access-role。否则，您必须手动创建 IAM 角色。当手动创建 IAM 角色时，请选择 Directory Service，然后将 Amazon 托管式策略 AmazonRDSDirectoryServiceAccess 附加到该角色。

有关为服务创建 IAM 角色的更多信息，请参阅 IAM 用户指南中的创建向Amazon服务委托权限的角色。

手动创建 IAM 信任策略

或者，您可以创建具有所需权限的资源策略，而不是使用托管式 IAM policy AmazonRDSDirectoryServiceAccess。同时指定 directoryservice.rds.amazonaws.com 和 rds.amazonaws.com 作为主体。

要限制 Amazon RDS 为其他服务提供对资源的权限，我们建议在资源策略中使用 aws:SourceArn 和 aws:SourceAccount 全局条件上下文键。防范混淆代理问题最有效的方法是使用 aws:SourceArn 全局条件上下文键和 Amazon RDS 资源的完整 ARN。有关更多信息，请参阅防范跨服务混淆代理问题。

以下示例演示如何使用 Amazon RDS 中的 aws:SourceArn 和 aws:SourceAccount 全局条件上下文键来防范混淆代理问题。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:rds:us-east-1:123456789012:db:mydbinstance"
        },
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        }
      }
    }
  ]
}

角色还必须具有以下 IAM policy。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}

步骤 4：创建和配置用户

您可使用 Active Directory 用户和计算机工具（Active Directory 域服务和 Active Directory 轻型目录服务工具之一）创建用户。在这种情况下，用户表示有权访问您的目录的独立个人或实体。

要在 Amazon Directory Service 目录中创建用户和组，您必须连接到属于 Amazon Directory Service 目录成员的 Windows Amazon EC2 实例。同时，您必须以具有创建用户权限的用户身份登录。有关在 Microsoft Active Directory 中创建用户的更多信息，请参阅 Amazon Managed Microsoft AD 管理指南中的管理 Amazon Directory Service 中的用户和组。

步骤 5：在目录和数据库实例之间启用跨 VPC 流量

如果您打算将目录和数据库实例放在同一 VPC 中，请跳过该步骤，然后转到步骤 6：创建或修改 Oracle 数据库实例。

如果您计划在不同Amazon账户或 VPC 中查找目录和数据库实例，请使用 VPC 对等连接或Amazon Transit Gateway 配置跨 VPC 流量。以下过程使用 VPC 对等连接启用 VPC 之间的流量。请按照 Amazon Virtual Private Cloud 对等连接指南中的什么是 VPC 对等连接？操作。

如果该目录由不同的 Amazon 账户拥有，则您必须共享该目录。

步骤 6：创建或修改 Oracle 数据库实例

创建或修改 Oracle 数据库实例，以便与您的目录一起使用。您可以使用控制台、CLI 或 RDS API 将数据库实例与目录关联。您可以通过下列方式之一来执行该操作：

只有 VPC 中的 Oracle 数据库实例才支持 Kerberos 身份验证。数据库实例可以与目录在同一 VPC 中或在不同 VPC 中。创建或修改数据库实例时，请执行以下操作：

在使用控制台创建数据库实例时，请选择 Database authentication (数据库身份验证) 部分中的 Password and Kerberos authentication (密码和 Kerberos 身份验证)。选择 Browse Directory (浏览目录)，然后选择目录或选择 Create a new directory (创建新目录)。

在使用控制台修改或还原数据库实例时，请在 Kerberos authentication (Kerberos 身份验证) 部分中选择目录，或选择 Create a new directory (创建新目录)。

使用 Amazon CLI 时，数据库实例需要以下参数才能使用您创建的目录：

例如，以下 CLI 命令会修改数据库实例以使用目录。

对于 Linux、macOS 或 Unix：

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --domain d-ID \
    --domain-iam-role-name role-name 

对于 Windows：

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --domain d-ID ^
    --domain-iam-role-name role-name

步骤 7：创建 Kerberos 身份验证 Oracle 登录名

使用 Amazon RDS 主用户凭证连接到 Oracle 数据库实例，就像连接到任何其他数据库实例一样。数据库实例加入到 Amazon Managed Microsoft AD 域。因此，您可以根据您的域中的 Microsoft Active Directory 用户和组预配置 Oracle 登录和用户。要管理数据库权限，可以授予和撤消这些登录的标准 Oracle 权限。

步骤 8：配置 Oracle 客户端

要配置 Oracle 客户端，请满足以下要求：

以下是 Amazon Managed Microsoft AD 的示例内容。

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
[domain_realm]
 .example.com = CORP.EXAMPLE.COM
 example.com = CORP.EXAMPLE.COM

以下是本地 Microsoft AD 的示例内容。在 krb5.conf 或 krb5.ini 文件中，将 on-prem-ad-server-name 替换为本地 AD 服务器的名称。

[libdefaults]
 default_realm = ONPREM.COM
[realms]
 AWSAD.COM = {
  kdc = awsad.com
  admin_server = awsad.com
 }
 ONPREM.COM = {
  kdc = on-prem-ad-server-name
  admin_server = on-prem-ad-server-name
 }
[domain_realm]
 .awsad.com = AWSAD.COM
 awsad.com= AWSAD.COM
 .onprem.com = ONPREM.COM
 onprem.com= ONPREM.COM

以下是 SQL*Plus 配置的示例 sqlnet.ora 内容：

SQLNET.AUTHENTICATION_SERVICES=(KERBEROS5PRE,KERBEROS5)
SQLNET.KERBEROS5_CONF=path_to_krb5.conf_file

有关 SQL Developer 配置示例，请参阅 Oracle 支持网站中的文档 1609359.1。