Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

为 PostgreSQL 数据库实例设置 Kerberos 身份验证

您可以使用 Amazon Directory Service for Microsoft Active Directory (Amazon Managed Microsoft AD) 为 PostgreSQL 数据库实例设置 Kerberos 身份验证。要设置 Kerberos 身份验证，请执行以下步骤。

步骤 1：使用 Amazon Managed Microsoft AD 创建目录

Amazon Directory Service 将在 Amazon 云中创建一个完全托管的 Active Directory。在创建 Amazon Managed Microsoft AD 目录时，Amazon Directory Service 将创建两个域控制器和 DNS 服务器。目录服务器在 VPC 中的不同子网中创建。这种冗余有助于确保始终可以访问目录，即使发生了故障。

创建 Amazon Managed Microsoft AD 目录时，Amazon Directory Service 将代表您执行下列任务：

在启动 Amazon Directory Service for Microsoft Active Directory 时，Amazon 创建一个组织单位 (OU)，其中包含目录的所有对象。此 OU（具有您在创建目录时输入的 NetBIOS 名称）位于域根目录中。此域根目录由 Amazon 拥有和管理。

使用 Admin 目录创建的 Amazon Managed Microsoft AD 账户有权为您的 OU 执行最常见的管理活动：

Admin 账户还有权执行以下域范围的活动：

目录创建需要几分钟时间。创建成功后，Status (状态) 值将更改为 Active (活动)。

要查看有关您的目录的信息，请在目录列表中选择目录。记下目录 ID 值。在创建或修改 PostgreSQL 数据库实例时，您需要使用该值。

步骤 2：（可选）在本地 Active Directory 和 Amazon Directory Service 之间创建信任关系

如果您不打算使用自己的本地 Microsoft Active Directory，请跳转至 步骤 3：为 Amazon RDS 创建 IAM 角色以访问 Amazon Directory Service。

要使用本地 Active Directory 获取 Kerberos 身份验证，您需要使用林信任在本地 Microsoft Active Directory 和 Amazon Managed Microsoft AD 目录（在 步骤 1：使用 Amazon Managed Microsoft AD 创建目录 中创建）之间创建信任域关系。信任可以是单向的，此时 Amazon Managed Microsoft AD 目录信任本地 Microsoft Active Directory。信任也可以是双向的，此时两个 Active Directory 相互信任。有关使用 Amazon Directory Service 设置信任的更多信息，请参阅 Amazon Directory Service 管理指南中的何时创建信任关系。

请确保您的本地 Microsoft Active Directory 域名包含与新创建的信任关系对应的 DNS 后缀路由。以下屏幕截图显示一个示例。

步骤 3：为 Amazon RDS 创建 IAM 角色以访问 Amazon Directory Service

要使 Amazon RDS 为您调用 Amazon Directory Service，您的 Amazon 账户需要一个使用托管式 IAM 策略 AmazonRDSDirectoryServiceAccess 的 IAM 角色。该角色允许 Amazon RDS 对 Amazon Directory Service 进行调用。

当您使用 Amazon Web Services Management Console 创建数据库实例并且控制台用户账户具有 iam:CreateRole 权限时，控制台将自动创建所需的 IAM 角色。在这种情况下，角色名为 rds-directoryservice-kerberos-access-role。否则，您必须手动创建 IAM 角色。在创建该 IAM 角色时，请选择 Directory Service，然后将 Amazon 托管策略 AmazonRDSDirectoryServiceAccess 附加到该角色。

有关为服务创建 IAM 角色的更多信息，请参阅 IAM 用户指南中的创建向Amazon服务委托权限的角色。

作为使用 AmazonRDSDirectoryServiceAccess 托管式策略的替代方法，您可以创建具有所需权限的策略。在这种情况下，IAM 角色必须具有以下 IAM 信任策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "directoryservice.rds.amazonaws.com",
          "rds.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}		       

角色还必须具有以下 IAM 角色策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ds:DescribeDirectories",
        "ds:AuthorizeApplication",
        "ds:UnauthorizeApplication",
        "ds:GetAuthorizedApplicationDetails"
      ],
    "Effect": "Allow",
    "Resource": "*"
    }
  ]
}		

步骤 4：创建和配置用户

您可以使用“Active Directory 用户和计算机”工具创建用户。该工具是 Active Directory Domain Services 和 Active Directory Lightweight Directory Services 工具之一。有关更多信息，请参阅 Microsoft 文档中的将用户和计算机添加到 Active Directory 域。在这种情况下，用户是个人或其他实体，例如属于域的计算机，其身份在目录中维护。

要在 Amazon Directory Service 目录中创建用户，您必须连接到属于 Amazon Directory Service 目录成员的基于 Windows 的 Amazon EC2 实例。同时，您必须以具有创建用户权限的用户身份登录。有关更多信息，请参阅 Amazon Directory Service 管理指南中的创建用户。

步骤 5：在目录和数据库实例之间启用跨 VPC 流量

如果您打算将目录和数据库实例放在同一 VPC 中，请跳过该步骤，然后转到 步骤 6：创建或修改 PostgreSQL 数据库实例。

如果您计划在不同 VPC 中查找目录和数据库实例，请使用 VPC 对等连接或 Amazon Transit Gateway 配置跨 VPC 流量。

以下过程使用 VPC 对等连接启用 VPC 之间的流量。请按照 Amazon Virtual Private Cloud 对等连接指南中的什么是 VPC 对等连接？操作。

如果该目录由不同的 Amazon 账户拥有，则您必须共享该目录。

步骤 6：创建或修改 PostgreSQL 数据库实例

创建或修改 PostgreSQL 数据库实例以用于您的目录。您可以使用控制台、CLI 或 RDS API 将数据库实例与目录关联。您可以通过下列方式之一来执行该操作：

仅 VPC 中的 PostgreSQL 数据库实例支持 Kerberos 身份验证。数据库实例可以与目录在同一 VPC 中或在不同 VPC 中。数据库实例必须使用允许在目录的 VPC 中传入和传出的安全组，以便数据库实例与目录通信。

步骤 7：为您的 Kerberos 主体创建 PostgreSQL 用户

此时，您的 RDS for PostgreSQL 数据库实例已加入 Amazon Managed Microsoft AD 域。您需要将您在 步骤 4：创建和配置用户 的目录中创建的用户设置为 PostgreSQL 数据库用户，并授予登录数据库的权限。为此，请以具有 rds_superuser 权限的数据库用户身份登录。例如，如果在创建 RDS for PostgreSQL 数据库实例时接受了缺省设置值，请使用 postgres，如以下步骤所示。

为 Active Directory 用户身份创建完所有 PostgreSQL 用户后，用户可以使用他们的 Kerberos 凭证访问 RDS for PostgreSQL 数据库实例。

假设使用 Kerberos 进行身份验证的数据库用户是从属于 Active Directory 域成员的客户端计算机进行身份验证的。

被授予 rds_ad 角色的数据库用户不能同时拥有 rds_iam 角色。这也适用于嵌套成员资格。有关更多信息，请参阅 适用于 MariaDB、MySQL 和 PostgreSQL 的 IAM 数据库身份验证。

步骤 8：配置 PostgreSQL 客户端

要配置 PostgreSQL 客户端，请采取以下步骤：

以下是 Amazon Managed Microsoft AD 的示例 Krb5.conf 内容。

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

以下是本地 Microsoft Active Directory 的示例 krb5.conf 内容。

[libdefaults]
 default_realm = EXAMPLE.COM
[realms]
 EXAMPLE.COM = {
  kdc = example.com
  admin_server = example.com
 }
 ONPREM.COM = {
  kdc = onprem.com
  admin_server = onprem.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM
 .onprem.com = ONPREM.COM
 onprem.com = ONPREM.COM  
 .rds.amazonaws.com = EXAMPLE.COM
 .amazonaws.com.cn = EXAMPLE.COM
 .amazon.com = EXAMPLE.COM