ApsaraDB RDS:RDS for PostgreSQL を自己管理ドメインに接続

仕組み

ユーザーが RDS インスタンスに接続すると、インスタンスは LDAP を介して認証リクエストを AD ドメインコントローラーに転送します。ドメインコントローラーはユーザーの認証情報を検証し、結果を返します。接続に対して AD 認証が有効になっている場合、AD ドメインコントローラーがパスワード検証を管理します。特定の接続で AD が使用されていない場合、ApsaraDB RDS は独自のパスワード検証にフォールバックします。

RDS インスタンスと AD ドメインコントローラーは、プライベートネットワーク経由でのみ通信します。両方とも同じ Virtual Private Cloud (VPC) 内に存在する必要があります。

前提条件

開始する前に、以下が準備できていることを確認してください。

• PostgreSQL 10 以降、マイナーエンジンバージョン 20210228 以降を実行し、クラウドディスクを使用している ApsaraDB RDS for PostgreSQL インスタンス。マイナーエンジンバージョンを更新するには、「ApsaraDB RDS for PostgreSQL インスタンスのマイナーエンジンバージョンを更新する」をご参照ください。

• RDS インスタンスと同じ VPC 内にあり、Windows Server 2016 以降を実行している ECS インスタンス

• ECS セキュリティグループで、RDS インスタンスのプライベート IP アドレスからのインバウンドトラフィックを許可するように設定します。 詳細については、「セキュリティグループルールを追加する」をご参照ください。 ECS ファイアウォールが有効になっている場合は、同じトラフィックを許可するように設定します (デフォルトでは、ファイアウォールは無効になっています)。

• Domain Admins グループに属するドメインアカウント

• ApsaraDB RDS コンソールへのアクセス

ステップ 1：ECS 上での AD ドメインコントローラーのセットアップ

AD ドメインコントローラーは Windows Server を実行する必要があります。このガイドでは、Windows Server 2016 を例として使用します。

1. ECS インスタンスにログインし、[サーバーマネージャー] を開きます。

2. 左側のナビゲーションウィンドウで [ダッシュボード] をクリックし、次に [役割と機能の追加] をクリックします。

   

3. [役割と機能の追加ウィザード] で、各タブを次のように設定します。

   ECS インスタンスには静的 IP アドレスが必要です。動的 IP アドレスを使用すると、DNS サーバーが利用できなくなります。

   タブ	設定
   開始する前に	デフォルト設定を使用します。
   インストールの種類	デフォルト設定を使用します。
   サーバーの選択	デフォルト設定を使用します。
   サーバーの役割	[Active Directory ドメインサービス] を選択し、ダイアログボックスで [機能の追加] をクリックします。[DNS サーバー] を選択し、[機能の追加] をクリックします。
   機能	デフォルト設定を使用します。
   AD DS	デフォルト設定を使用します。
   DNS サーバー	デフォルト設定を使用します。
   インストール	[インストール] をクリックします。

4. インストールが完了したら、[閉じる] をクリックします。

5. 左側のナビゲーションウィンドウで [AD DS] をクリックします。右上隅の [その他] をクリックします。

   

6. [すべてのサーバータスクの詳細と通知] パネルで、[このサーバーをドメインコントローラーに昇格させる] をクリックします。

   

7. [Active Directory ドメインサービス構成ウィザード] で、以下を設定します。

   タブ	設定
   展開の構成	[新しいフォレストを追加する] を選択し、[ルートドメイン名] を設定します。この例では pgsqldomain.net を使用します (pgsqldomain がプレフィックス、net がサフィックスです)。設定全体で同じルートドメイン名を使用してください。
   ドメインコントローラーのオプション	[ディレクトリサービス復元モード (DSRM) パスワード] を設定します。
   サーバーの選択	[DNS の委任を作成する] のチェックを外します。
   その他のオプション、パス、オプションの確認	デフォルト設定を使用します。
   前提条件のチェック	[インストール] をクリックします。

8. ECS インスタンスが AD ドメインコントローラーとして再起動した後、次のステップに進む前にもう一度ログインします。

ステップ 2：AD ドメインコントローラーへのユーザー追加

2種類の AD ユーザーが必要です。管理者ユーザー (LDAP がディレクトリにバインドするために使用) と標準ユーザー (RDS インスタンスへのログインに使用) です。

ステップ 3：ECS のセキュリティグループルールの設定

AD ドメインコントローラーは、いくつかのポートを開く必要があります。ドメインコントローラーには専用のセキュリティグループを使用し、他の ECS インスタンスと共有しないようにしてください。

1. ECS コンソールにログインし、[インスタンス & イメージ] > [インスタンス] に移動します。

2. 上部のナビゲーションバーで、ECS インスタンスのリージョンを選択します。

3. ECS インスタンス ID をクリックし、左側のナビゲーションウィンドウで [セキュリティグループ] をクリックします。

4. [操作] 列の [ルールの追加] をクリックします。

5. [インバウンド] タブで [ルールの追加] をクリックして、RDS インスタンスが以下のポートで ECS インスタンスに到達できるようにします。

   プロトコル	ポート	サービス
   TCP	88	Kerberos 認証
   TCP	135	RPC
   TCP/UDP	389	LDAP
   TCP	445	CIFS
   TCP	3268	グローバルカタログ
   TCP/UDP	53	DNS
   TCP	49152–65535	デフォルトの動的ポート範囲 (49152/65535 として入力)

ステップ 4：RDS インスタンスの設定

ステップ 5：接続のテスト

psql コマンドラインツールを使用して RDS インスタンスに接続します。RDS アカウントのパスワードではなく、AD 標準ユーザーの認証情報を使用します。

psql -h <RDS インスタンスのエンドポイント> -U ldapuser -p 5432 -d postgres

パスワードを求められたら、ldapuser の AD パスワード (RDS アカウントのパスワードではない) を入力します。

psql を使用する前に PostgreSQL クライアントをインストールしてください。その他の接続方法については、「ApsaraDB RDS for PostgreSQL インスタンスへの接続」をご参照ください。

AD ドメインサービスレコードの一括インポート (任意)

複数の AD ドメインサービスレコードを一度に設定するには、一括インポート機能を使用します。

インポートモード：

• 既存のサービス情報を上書きする — 現在のすべてのレコードを置き換えます。

• 追加のサービス情報 (最高優先度) — 新しいレコードを先頭に挿入し、既存のレコードよりも高い優先度を与えます。

• 追加のサービス情報 (最低優先度) — 新しいレコードを末尾に追加し、既存のレコードよりも低い優先度を与えます。

必須フォーマット：

TYPE|DATABASE|USER1|ADDRESS|MASK|METHOD|OPTION

サンプルレコード：

host|all|ldapuser|0.0.0.0/0||ldap|ldapserver=<ECS プライベート IP> ldapbasedn="CN=Users,DC=pgsqldomain,DC=net" ldapbinddn="CN=<AD 管理者ユーザー名>,CN=Users,DC=pgsqldomain,DC=net" ldapbindpasswd="<AD 管理者パスワード>" ldapsearchattribute="sAMAccountName"

[AD ドメインの編集] テキストボックスにレコードを入力し、インポートモードを選択して送信します。

AD ドメインサービス編集履歴の表示

1. RDS コンソールでインスタンス ID をクリックし、[アカウント] > [AD ドメインサービス編集履歴] に移動します。

2. [操作] 列の [変更詳細] をクリックして、変更の詳細を表示します。変更が失敗した場合、ステータスは [未適用] と表示されます。[変更ログ] をクリックしてエラーメッセージを確認します。

   

次のステップ

• ApsaraDB RDS for PostgreSQL インスタンスの SSL 暗号化を設定する

• pg_hba.conf ファイルの概要