ApsaraDB RDS:Menghubungkan RDS for PostgreSQL ke domain AD

Prasyarat

• Instans RDS Anda memenuhi persyaratan berikut:

  • Instans RDS menjalankan PostgreSQL 10 atau versi yang lebih baru.

  • Instans RDS menjalankan versi mesin minor 20210228 atau yang lebih baru. Untuk informasi selengkapnya tentang cara memperbarui versi mesin minor instans RDS Anda, lihat Perbarui versi mesin minor instans ApsaraDB RDS for PostgreSQL.

  • Instans RDS menggunakan cloud disk.

• Instans ECS telah dibuat. Untuk informasi selengkapnya, lihat Buat instans ECS. Instans RDS harus mengakses domain AD yang dikelola sendiri melalui Alamat IP pribadi, sehingga instans ECS harus memenuhi kondisi berikut:

  • Instans ECS dan instans RDS berada dalam virtual private cloud (VPC) yang sama.

  • Security group tempat instans ECS berada dikonfigurasi untuk mengizinkan akses dari Alamat IP pribadi instans RDS. Untuk informasi selengkapnya, lihat Tambahkan aturan security group.

  • Firewall instans ECS dinonaktifkan secara default. Jika firewall diaktifkan, Anda harus mengonfigurasinya agar mengizinkan akses dari Alamat IP pribadi instans RDS.

  • Citra instans ECS menjalankan Windows Server 2016 atau versi yang lebih baru.

• Akun domain termasuk dalam kelompok Domain Admins.

• Akun Alibaba Cloud Anda digunakan untuk login ke Konsol ApsaraDB RDS.

Prosedur

1. Konfigurasikan pengontrol domain AD untuk instans ECS.

   1. Login ke instans ECS.

      Catatan

      Pengontrol domain AD harus menjalankan sistem Windows Server. Kami menyarankan Anda menggunakan Windows Server 2016 atau versi yang lebih baru. Dalam contoh ini, pengontrol domain AD menjalankan Windows Server 2016.

   2. Cari dan buka Server Manager.

   3. Pada Dashboard, klik Add roles and features.

   4. Di Add Roles and Features Wizard, konfigurasikan pengaturan berikut.

      Tab	Deskripsi
      Before You Begin	Gunakan pengaturan default.
      Installation type	Gunakan pengaturan default.
      Server selection	Gunakan pengaturan default.
      Server roles	Pilih Active Directory Domain Services. Di kotak dialog yang muncul, klik Add Features. Pilih DNS Server. Di kotak dialog yang muncul, klik Add Features. Catatan Pastikan komputer Anda menggunakan alamat IP tetap. Jika alamat IP berubah secara dinamis, server DNS menjadi tidak tersedia.
      Feature	Gunakan pengaturan default.
      AD DS	Gunakan pengaturan default.
      DNS Server	Gunakan pengaturan default.
      OK	Klik Install untuk memulai instalasi.

   5. Setelah instalasi selesai, klik Close.

   6. Di panel navigasi kiri Server Manager, klik AD DS, lalu klik More di pojok kanan atas.

   7. Di jendela All Servers Task Details and Notifications, klik Promote this server to a domain controller.

   8. Di Active Directory Domain Services Configuration Wizard, konfigurasikan pengaturan berikut.

      Tab	Deskripsi
      Deployment configuration	Pilih Add a new forest dan atur Root domain name. Catatan Dalam contoh ini, Root domain name adalahpgsqldomain.net, di manapgsqldomain adalah awalan domain dannet adalah akhiran domain. Anda dapat menyesuaikan kedua nilai tersebut. Pastikan Anda menggunakan nilai kustom Anda secara konsisten pada langkah-langkah selanjutnya.
      Domain controller options	Atur Forest functional level dan Domain functional level ke Windows Server 2016. Pilih kotak centang Domain Name System (DNS) server dan Global Catalog (GC). Di bagian Type the Directory Services Restore Mode (DSRM) password, atur dan konfirmasi kata sandi, lalu klik Next.
      DNS options	Di halaman DNS Options, kosongkan kotak centang Create DNS delegation.
      Additional options	Gunakan pengaturan default.
      Paths	Gunakan pengaturan default.
      Review options	Gunakan pengaturan default.
      Prerequisites check	Klik Install untuk memulai instalasi layanan.

      Catatan

      Setelah instans ECS dipromosikan menjadi pengontrol domain AD, Anda harus me-restart instans tersebut sebelum melanjutkan ke langkah berikutnya.

2. Tambahkan pengguna administrator ke pengontrol domain AD.

   1. Login jarak jauh ke instans ECS, lalu cari dan buka Server Manager.

   2. Di panel navigasi kiri Server Manager, klik AD DS. Lalu, klik kanan pengontrol domain target di sebelah kanan, dan pilih Active Directory Users and Computers.

   3. Klik kanan pgsqldomain.net > Users dan pilih New > User.

      Catatan

      pgsqldomain.net adalah nama domain root yang Anda atur di Active Directory Domain Services Configuration Wizard. Gunakan nama sesuai konfigurasi aktual Anda.

   4. Atur nama login untuk pengguna tersebut dan klik Next. Untuk Full name dan User logon name, masukkan dbadmin dan pilih @pgsqldomain.net dari daftar drop-down.

   5. Atur kata sandi, centang kotak Password never expires, lalu klik Next dan Done.

   6. Klik ganda pengguna yang baru dibuat untuk menambahkannya ke kelompok Domain Admins. Di kotak dialog properti pengguna, pilih tab Member Of, klik Add, masukkan Domain Admins di bidang nama objek, klik Check Names untuk mengonfirmasi, lalu klik OK.

3. Tambahkan pengguna standar ke pengontrol domain AD untuk login.

   Catatan

   Langkah-langkah untuk menambahkan pengguna standar sama dengan langkah-langkah untuk menambahkan pengguna administrator, tetapi pengguna standar tidak perlu ditambahkan ke kelompok Domain Admins.

   Topik ini menggunakan pengguna standar bernama ldapuser sebagai contoh. Pengguna ini digunakan untuk login ke instans ApsaraDB RDS for PostgreSQL.

4. Konfigurasikan aturan security group untuk instans ECS.

   1. Login ke Konsol ECS.

   2. Di panel navigasi kiri, pilih Instances & Images > Instance.

   3. Di bilah navigasi atas, pilih wilayah tempat instans ECS berada.

   4. Di halaman Instances, klik ID instans target.

   5. Di tab Security Groups, klik kolom Actions pada security group target, lalu klik Manage Rules.

      Catatan

      Beberapa port perlu diaktifkan untuk pengontrol domain AD. Kami menyarankan Anda mengonfigurasi security group terpisah untuk pengontrol domain AD daripada menggunakan security group yang sama dengan instans ECS lainnya.

   6. Di tab Inbound, klik Add Rule untuk mengizinkan akses ke instans ECS pada port-port berikut.

      Jenis protokol	Range port	Deskripsi
      TCP	88	Port untuk protokol autentikasi Kerberos.
      TCP	135	Port untuk protokol Remote Procedure Call (RPC).
      TCP/UDP	389	Port untuk Lightweight Directory Access Protocol (LDAP).
      TCP	445	Port untuk protokol Common Internet File System (CIFS).
      TCP	3268	Port untuk Global Catalog.
      TCP/UDP	53	Port untuk layanan DNS.
      TCP	49152 hingga 65535	Range port dinamis default untuk koneksi. Masukkan nilai dalam format berikut: 49152/65535.

5. Konfigurasikan instans RDS

   1. Login ke Konsol ApsaraDB RDS dan buka halaman Instances. Di bilah navigasi atas, pilih wilayah tempat instans RDS berada. Lalu, temukan instans RDS tersebut dan klik ID-nya.

   2. Buat akun pengguna bernama ldapuser. Untuk informasi selengkapnya, lihat Buat akun. Setelah akun dibuat, Anda dapat mengonfirmasi di daftar akun bahwa jenis akun untuk ldapuser adalah akun standar.

      Catatan

      Nama akun yang dibuat di Konsol ApsaraDB RDS harus sesuai dengan nama akun standar yang dibuat di domain AD. Kata sandinya dapat berbeda. Saat autentikasi domain AD diaktifkan, sistem memverifikasi kata sandi akun yang sesuai di pengontrol domain AD. Saat autentikasi domain AD dinonaktifkan, sistem memverifikasi kata sandi pengguna yang diatur di halaman Accounts di Konsol ApsaraDB RDS.

   3. Di panel navigasi kiri, klik Accounts dan pilih tab AD Domain Services.

      Saat Anda membuka tab AD Domain Services untuk pertama kalinya, sistem telah membuat dua catatan default berikut:

      host    all            all    0.0.0.0/0    md5
      host    replication    all    0.0.0.0/0    md5

      Anda dapat menghapus atau memodifikasi catatan-catatan tersebut.

   4. Klik Edit di samping catatan default pertama dan isi nilai parameter berikut.

      Catatan

      Tabel berikut hanya menjelaskan parameter yang digunakan dalam contoh yang diberikan. Untuk informasi selengkapnya, lihat Dokumentasi resmi PostgreSQL.

      Parameter	Contoh	Deskripsi
      Priority	0	Prioritas catatan. Jika Anda mengatur parameter ini ke 0, catatan memiliki prioritas tertinggi dan dihasilkan secara otomatis. Modifikasi catatan pertama dan atur parameter ini ke 0. Nilai 0 menentukan prioritas tertinggi untuk layanan domain AD.
      Type	host	Nilai yang valid: host: Catatan cocok dengan koneksi TCP/IP, termasuk koneksi SSL dan non-SSL. hostssl: Catatan hanya cocok dengan koneksi TCP/IP yang dibuat melalui SSL. Catatan Parameter ini hanya berlaku jika enkripsi SSL diaktifkan untuk instans RDS Anda. Untuk informasi selengkapnya, lihat Konfigurasikan enkripsi SSL untuk instans ApsaraDB RDS for PostgreSQL. hostnossl: Domain AD hanya memverifikasi koneksi TCP/IP yang dibuat melalui koneksi non-SSL.
      Database	all	Database yang diizinkan diakses oleh pengguna yang ditentukan. Jika nilai parameter ini adalah all, pengguna yang ditentukan diizinkan mengakses semua database instans RDS Anda. Jika Anda menentukan beberapa entri, pisahkan entri tersebut dengan koma (,).
      User	ldapuser	Pengguna yang diizinkan mengakses instans RDS Anda. Nilai yang valid: nama pengguna yang dibuat di pengontrol domain AD. Jika Anda menentukan beberapa entri, pisahkan entri tersebut dengan koma (,). Catatan Parameter ini hanya dapat diatur ke nama pengguna pengguna standar yang dibuat di domain AD.
      Address	0.0.0.0/0	Alamat IP dari mana pengguna yang ditentukan dapat mengakses database yang ditentukan. Jika Anda mengatur parameter ini ke 0.0.0.0/0, pengguna yang ditentukan diizinkan mengakses database yang ditentukan dari semua alamat IP.
      Mask	None	Mask untuk alamat IP dalam catatan. Jika nilai parameter ADDRESS adalah alamat IP, Anda dapat menggunakan parameter ini untuk menentukan mask alamat IP tersebut.
      Method	ldap Catatan LDAP adalah protokol yang digunakan untuk mengakses direktori database. Dalam topik ini, LDAP digunakan sebagai contoh.	Parameter ini menentukan metode autentikasi LDAP. Nilai yang valid: trust reject scram-sha-256 md5 password gss sspi ldap radius cert pam Catatan Nilai yang valid untuk parameter ini harus dalam huruf kecil.
      Option	ldapserver=<Alamat IP pribadi instans ECS> ldapbasedn="CN=Users,DC=Awalan nama domain root, pgsqldomain dalam contoh ini,DC=Akhiran nama domain root, net dalam contoh ini" ldapbinddn="CN=<Nama pengguna administrator domain AD>,CN=Users,DC=Awalan nama domain root, pgsqldomain dalam contoh ini,DC=Akhiran nama domain root, net dalam contoh ini" ldapbindpasswd="<Kata sandi administrator domain AD>" ldapsearchattribute="sAMAccountName"	Opsi metode autentikasi. Dalam topik ini, LDAP digunakan sebagai contoh. Anda harus menentukan parameter ini. Untuk informasi selengkapnya, lihat Metode Autentikasi.

   5. Klik Add di samping catatan layanan domain AD yang baru dikonfigurasi untuk menambahkan catatan berikut.

      host    all            all    0.0.0.0/0    md5

   6. Setelah Anda memasukkan informasi, klik OK, lalu klik Submit.

      Catatan

      Setelah Anda mengirimkan perubahan, status instans berubah menjadi Maintaining Instance selama sekitar satu menit. Konfigurasi baru hanya berlaku untuk koneksi baru. Koneksi yang sudah ada harus dibuat ulang agar perubahan berlaku.

6. (Opsional) Selain menambahkan konfigurasi layanan domain AD secara manual, ApsaraDB RDS for PostgreSQL mendukung impor konfigurasi secara massal. Di kotak dialog Import AD Domain Service Information, pilih mode impor: Overwrite existing service information, Append service information (highest priority), atau Append service information (lowest priority). Di area teks Edit AD domain, masukkan informasi layanan domain AD dalam format TYPE|DATABASE|USER|ADDRESS|MASK|METHOD|OPTION, pisahkan beberapa nama pengguna dengan koma (,), lalu klik OK.

   Metode impor berikut didukung:

   • Overwrite existing service information.

   • Additional service information (highest priority): Jika Anda memilih opsi ini, informasi layanan domain AD ditambahkan di awal informasi layanan yang sudah ada. Prioritas informasi yang ditambahkan lebih tinggi daripada prioritas informasi layanan yang sudah ada.

   • Additional service information (lowest priority): Jika Anda memilih opsi ini, informasi layanan domain AD ditambahkan di akhir informasi layanan yang sudah ada. Prioritas informasi yang ditambahkan lebih rendah daripada prioritas informasi layanan yang sudah ada.

   Format yang valid:

   TYPE|DATABASE|USER1|ADDRESS|MASK|METHOD|OPTION

   Di kotak teks Edit AD domain, masukkan informasi layanan yang ingin Anda impor sesuai urutan yang ditentukan. Untuk deskripsi parameter, lihat tabel pada langkah sebelumnya.

   Konfigurasi contoh:

   host|all|<standard_username_in_ad_domain>|0.0.0.0/0||ldap|ldapserver=<private_ip_address_of_ecs_instance> ldapbasedn="CN=Users,DC=<root_domain_prefix, e.g., pgsqldomain>,DC=<root_domain_suffix, e.g., net>" ldapbinddn="CN=<admin_username_in_ad_domain>,CN=Users,DC=<root_domain_prefix, e.g., pgsqldomain>,DC=<root_domain_suffix, e.g., net>" ldapbindpasswd="<admin_user_password_in_ad_domain>" ldapsearchattribute="sAMAccountName"

7. Uji konektivitas.

   Gunakan tool command line PostgreSQL untuk menghubungkan ke instans RDS Anda.

   Catatan

   Anda dapat menghubungkan ke instans RDS dengan berbagai metode. Dalam topik ini, digunakan tool command line PostgreSQL. Anda harus menginstal client PostgreSQL sebelum menggunakan tool tersebut. Untuk informasi selengkapnya, lihat Hubungkan ke instans ApsaraDB RDS for PostgreSQL.

   Jalankan perintah berikut dan gunakan nama pengguna serta kata sandi akun standar pengontrol domain AD untuk menghubungkan ke instans RDS Anda:

   psql -h <instance_endpoint> -U <standard_username_in_ad_domain> -p 5432 -d postgres

Lihat riwayat modifikasi informasi layanan domain AD

1. Buka halaman Instances. Di bilah navigasi atas, pilih wilayah tempat instans RDS berada. Lalu, temukan instans RDS tersebut dan klik ID-nya.

2. Di panel navigasi kiri, klik Accounts dan pilih tab AD Domain Services Edit History.

3. Di kolom Actions, Anda dapat melihat changedetails. Jika modifikasi gagal, status ditampilkan sebagai failed. Anda dapat mengklik Change log untuk melihat pesan error. Kolom Actions juga menyediakan opsi Restore untuk mengembalikan konfigurasi domain AD ke kondisi sebelum perubahan dilakukan.