Hologres:Hologres RAM role authorization mode

Para atender a regulamentações de segurança mais rigorosas e centralizar a autenticação, as empresas costumam adotar o SSO. Esse recurso permite aos usuários fazer logon uma única vez e acessar todos os aplicativos confiáveis. O Hologres oferece suporte ao SSO baseado em funções. Para mais informações, consulte Visão geral do SSO de função baseado em SAML. Com ele, use sua conta corporativa para assumir uma função do RAM e acessar uma instância do Hologres. A função do RAM controla as permissões de acesso.

1. O usuário abre um navegador e selecione a Alibaba Cloud como service de destino na página de logon do provedor de identidade (IdP).

   Por exemplo, se o IdP da sua empresa for o Microsoft Active Directory Federation Services (AD FS), a URL de logon será https:///adfs/ls/IdpInitiatedSignOn.aspx.

   Nota

   Alguns IdPs exigem que os usuários façam logon antes de selecione o aplicativo SSO que representa a Alibaba Cloud.

2. O IdP gera uma resposta SAML e a retorna ao navegador.

3. O navegador redireciona o usuário para a página do service SSO e encaminha a resposta SAML a esse service.

4. O service SSO utiliza a resposta SAML para solicitar credenciais de segurança temporárias ao Security Token Service (STS) da Alibaba Cloud e gera uma URL de logon para o Console de Gerenciamento da Alibaba Cloud.

   Nota

   Se a resposta SAML contiver atributos mapeados para várias funções do RAM, o sistema solicitará que o usuário selecione uma função para acessar a Alibaba Cloud.

5. O service SSO retorna a URL ao navegador.

6. O navegador redireciona para a URL e realiza o logon do usuário no Console de Gerenciamento da Alibaba Cloud com a função do RAM especificada. Em seguida, o usuário acessa a instância do Hologres assumindo essa função.

O Hologres é compatível com os dois métodos de acesso a seguir:

• Acesso ao Hologres com uma conta cloud (uma conta da Alibaba Cloud ou um usuário do RAM).

  Faça logon no Console de Gerenciamento da Alibaba Cloud insira nome de usuário e senha e use o Hologres como a conta atual. Nesse caso, a conta da Alibaba Cloud torna-se membro de uma instância do Hologres com permissões para utilizar o service.

• Logon no Hologres com SSO baseado em funções.

  Também é possível fazer logon na Alibaba Cloud com SSO baseado em funções (Visão geral do SSO de função baseado em SAML) e utilizar o Hologres. Nessa situação, a função do RAM torna-se membro de uma instância do Hologres. Os usuários que assumem essa função do RAM possuem as mesmas permissões dos membros que utilizam contas da Alibaba Cloud. Para mais informações sobre funções do RAM, consulte Visão geral de funções do RAM.

Os tokens do STS oferecem os seguintes benefícios:

• Redução do risco de exposição do seu par de AccessKey. Basta gerar credenciais temporárias para os usuários.

• Controle flexível de permissões. Os tokens do STS expiram automaticamente após um período de validade limitado, eliminando a necessidade de revogar permissões manualmente.

Siga estas etapas para crie uma função do RAM e conceder a ela permissões de acesso ao Hologres.

• Etapa 1: Criar uma função do RAM

• Etapa 2: Adicionar a função do RAM a uma instância do Hologres e conceder permissões

• Etapa 3: Fazer logon na Alibaba Cloud e usar o Hologres

Faça logon no console do Resource Access Management (RAM) para crie uma função do RAM. Como tipo de principal, selecione Alibaba Cloud Account ou Identity Provider.

• Caso precise alternar identidades no Console de Gerenciamento da Alibaba Cloud para assumir a função, crie uma função com o tipo de principal Alibaba Cloud Account. Para mais informações, consulte Assumir uma função como usuário do RAM e conceder permissões.

• Se for necessário fazer logon na Alibaba Cloud com uma conta de IdP local para assumir a função, crie uma função com o tipo de principal Identity Provider. Para mais informações, consulte Assumir uma função como usuário do IdP e conceder permissões.

Logon no Console e HoloWeb

Após a concessão das permissões, os usuários podem assumir a função do RAM para fazer logon e usar o Hologres.

1. Assuma a função do RAM para fazer logon no console do Hologres e gerencie suas instâncias do Hologres.

2. Na página do console do Hologres, clique em Go to HoloWeb no painel de navegação à esquerda para abrir a página do HoloWeb. Em seguida, projete esquemas e desenvolva dados. Para mais informações, consulte Conectar-se ao HoloWeb e execute uma consulta.

Logon com cliente JDBC e psql

O Hologres V2.0 e versões posteriores permitem especifique um token de segurança nas opções de conexão do protocolo PostgreSQL para acessar o Hologres como uma função do RAM a partir de um cliente PostgreSQL, como JDBC ou psql.

Antes de se conectar, certifique-se de que os seguintes pré-requisitos foram atendidos:

• Você adicionou a função do RAM à instância do Hologres e concedeu permissões. Para mais informações, consulte Etapa 2: Adicionar a função do RAM a uma instância do Hologres e conceder permissões.

• Você chamou a operação de API AssumeRole - Obter credenciais de segurança temporárias para assumir uma função no Resource Access Management (RAM) para obter o trio de tokens do STS: um AccessKey ID, um AccessKey Secret e um token de segurança. Para mais informações, consulte Exemplos de chamada do SDK do STS. O código a seguir mostra um exemplo de token do STS:

  "Credentials": {
      "SecurityToken": "CAISuwJ1q6Ft5B2yu****KiAA",
      "AccessKeyId": "STS.NTKaenSkmLhG4HpM5****76UV",
      "AccessKeySecret": "6itECZnhbG2RU6ktTSBSd6JxeLHKPWyBt****SS62",
      "Expiration": "2025-02-21T03:47:07Z"
    }

Após concluir esses pré-requisitos, conecte-se ao Hologres de uma das seguintes maneiras.

• Conexão via JDBC (Java): Para mais informações, consulte Conectar-se ao Hologres usando JDBC.

  • Exemplo 1: Carregue o trio de tokens do STS usando as propriedades da classe PGProperty do driver JDBC do PostgreSQL para concluir a verificação de identidade.

    import org.postgresql.PGProperty;
    import java.sql.*;
    import java.io.IOException;
    import java.util.Properties;
    public class JdbcLinkHologres1 {
        public static void main(String[] args) throws IOException, ClassNotFoundException, SQLException {
             // This example shows how to store the AccessKey ID and AccessKey Secret in environment variables. You can also store them in a configuration file based on your business needs.
    	// To prevent key leakage, do not hard-code the AccessKey ID and AccessKey Secret in your code.
            String accessKeyId = "ALIBABA_CLOUD_ACCESS_KEY_ID";
            String accessKeySecret = "ALIBABA_CLOUD_ACCESS_KEY_SECRET";
            String securityToken = "<SecurityToken>";
            String url = "jdbc:postgresql://<host>:<port>/<database>";
            Properties props = new Properties();
            PGProperty.USER.set(props, accessKeyId);
            PGProperty.PASSWORD.set(props, accessKeySecret);
            PGProperty.OPTIONS.set(props, "sts_token=" + securityToken);
            Class.forName("org.postgresql.Driver");
            Connection connection = DriverManager.getConnection(url, props);
            Statement statement = connection.createStatement();
            ResultSet resultSet = statement.executeQuery("SELECT * FROM tabletest");
            // Process the resultSet
            while (resultSet.next()) {
                System.out.println("Result: " + resultSet.getInt(1));
                System.out.println("Result: " +  resultSet.getString(2));
            }
        }
    }

  • Exemplo 2: Codifique o token de segurança em formato URL, anexe-o à URL JDBC e carregue o AccessKey ID e o AccessKey Secret quando a classe do driver estabelecer a conexão com o Hologres para concluir a verificação de identidade.

    import java.net.URLEncoder;
    import java.sql.*;
    import java.io.IOException;
    public class JdbcLinkHologres2 {
        public static void main(String[] args) throws IOException, ClassNotFoundException, SQLException {
            // This example shows how to store the AccessKey ID and AccessKey Secret in environment variables. You can also store them in a configuration file based on your business needs.
    	// To prevent key leakage, do not hard-code the AccessKey ID and AccessKey Secret in your code.
            String accessKeyId = "ALIBABA_CLOUD_ACCESS_KEY_ID";
            String accessKeySecret = "ALIBABA_CLOUD_ACCESS_KEY_SECRET";
            String securityToken = "<SecurityToken>";
            String url = "jdbc:postgresql://<host>:<port>/<database>";
            String urlWithOptions = url + "?options=sts_token=" + URLEncoder.encode(securityToken, "UTF-8");
            Class.forName("org.postgresql.Driver");
            Connection connection = DriverManager.getConnection(urlWithOptions, accessKeyId, accessKeySecret);
            Statement statement = connection.createStatement();
            ResultSet resultSet = statement.executeQuery("SELECT * FROM tabletest");
            // Process the resultSet
            while (resultSet.next()) {
                System.out.println("Result: " + resultSet.getInt(1));
                System.out.println("Result: " +  resultSet.getString(2));
            }
        }
    }

• Conexão com cliente psql: O comando a seguir destina-se a sistemas Linux. Para mais informações, consulte Conectar-se ao Hologres usando um cliente psql.

  PGUSER=<AccessKeyId> PGPASSWORD=<AccessKeySecret> PGOPTIONS="sts_token=<SecurityToken>" psql -h <host> -p <port> -d <database>

Perguntas frequentes

O que devo fazer se receber o erro password authentication failed for user "<AccessKeyId>" ao fazer logon como uma função do RAM?

Esse erro indica que o AccessKey ID, o AccessKey Secret ou o token de segurança está incorreto, ou que o usuário não existe na instância do Hologres. Verifique os seguintes itens:

1. Verifique se o usuário existe na instância. Caso não exista, adicione a função do RAM à instância. Para mais informações, consulte Etapa 2: Adicionar a função do RAM a uma instância do Hologres e conceder permissões.

2. Confira se o token de segurança foi transmitido corretamente. Se você o transmitir na URL, será necessário codificá-lo usando URLEncoder.encode.

3. Valide se o AccessKey ID, o AccessKey Secret e o token de segurança estão corretos.