ApsaraDB RDS:Conectar o RDS for PostgreSQL a um domínio autogerenciado

Como funciona

Ao receber uma conexão, a instância do RDS encaminha a solicitação de autenticação ao controlador de domínio AD pelo protocolo LDAP (Lightweight Directory Access Protocol). O controlador verifica as credenciais e retorna o resultado. Se a autenticação via AD estiver ativada para a conexão, o controlador de domínio AD gerencia a verificação da senha. Caso contrário, o ApsaraDB RDS utiliza seu próprio mecanismo de verificação.

A comunicação entre a instância do RDS e o controlador de domínio AD ocorre exclusivamente pela rede privada. Ambos devem residir na mesma Virtual Private Cloud (VPC).

Pré-requisitos

Antes de começar, verifique se você possui:

• Uma instância do ApsaraDB RDS for PostgreSQL com PostgreSQL 10 ou superior, versão secundária do mecanismo 20210228 ou posterior e discos em nuvem. Para atualizar a versão secundária do mecanismo, consulte Update the minor engine version of an ApsaraDB RDS for PostgreSQL instance

• Uma instância do ECS na mesma VPC da instância do RDS, com Windows Server 2016 ou superior

• Grupo de segurança do ECS configurado para permitir tráfego de entrada do endereço IP privado da instância do RDS. Consulte Adicionar uma regra de grupo de segurança. Se o firewall do ECS estiver ativado, configure-o para permitir o mesmo tráfego (o firewall vem desativado por padrão)

• Conta de domínio pertencente ao grupo Domain Admins

• Acesso ao console do ApsaraDB RDS

Etapa 1: Configurar o controlador de domínio AD no ECS

O controlador de domínio AD deve executar o Windows Server. Este guia usa o Windows Server 2016 como exemplo.

1. Faça login na instância do ECS e abra o Server Manager.

2. No painel de navegação à esquerda, clique em Dashboard e em Add roles and features.

   

3. No Add Roles and Features Wizard, configure cada aba conforme descrito abaixo:

   A instância do ECS deve ter um endereço IP estático. Um endereço IP dinâmico torna o servidor DNS indisponível.

   Aba	Configuração
   Before You Begin	Mantenha as configurações padrão.
   Installation Type	Mantenha as configurações padrão.
   Server Selection	Mantenha as configurações padrão.
   Server Roles	Selecione Active Directory Domain Services e clique em Add Features na caixa de diálogo. Selecione DNS Server e clique em Add Features.
   Features	Mantenha as configurações padrão.
   AD DS	Mantenha as configurações padrão.
   DNS Server	Mantenha as configurações padrão.
   Install	Clique em Install.

4. Após a conclusão da instalação, clique em Close.

5. No painel de navegação à esquerda, clique em AD DS. No canto superior direito, clique em More.

   

6. No painel All Servers Task Details and Notifications, clique em Promote this server to a domain controller.

   

7. No Active Directory Domain Services Configuration Wizard, defina os seguintes parâmetros:

   Aba	Configuração
   Deployment Configuration	Selecione Add a new forest e defina o Root domain name. Este exemplo usa pgsqldomain.net (onde pgsqldomain é o prefixo e net é o sufixo). Use o mesmo nome de domínio raiz durante toda a configuração.
   Domain Controller Options	Defina uma Directory Services Restore Mode (DSRM) password.
   Server Selection	Desmarque a opção Create DNS delegation.
   Additional Options, Paths, Review Options	Mantenha as configurações padrão.
   Prerequisites Check	Clique em Install.

8. Após a reinicialização da instância do ECS como controlador de domínio AD, faça login novamente antes de prosseguir para a próxima etapa.

Etapa 2: Adicionar usuários ao controlador de domínio AD

São necessários dois tipos de usuários no AD: um administrador (usado pelo LDAP para vincular-se ao diretório) e um usuário padrão (usado para fazer login na instância do RDS).

Etapa 3: Configurar regras de grupo de segurança para o ECS

O controlador de domínio AD exige que várias portas estejam abertas. Use um grupo de segurança dedicado para o controlador de domínio, em vez de compartilhá-lo com outras instâncias do ECS.

1. Faça login no console do ECS e acesse Instances & Images > Instances.

2. Na barra de navegação superior, selecione a região da instância do ECS.

3. Clique no ID da instância do ECS e em Security Groups no painel de navegação à esquerda.

4. Clique em Add Rules na coluna Actions.

5. Na aba Inbound, clique em Add Rule para permitir que a instância do RDS alcance a instância do ECS nas seguintes portas:

   Protocolo	Porta	Serviço
   TCP	88	Autenticação Kerberos
   TCP	135	RPC
   TCP/UDP	389	LDAP
   TCP	445	CIFS
   TCP	3268	Global Catalog
   TCP/UDP	53	DNS
   TCP	49152–65535	Intervalo de portas dinâmicas padrão (insira como 49152/65535)

Etapa 4: Configurar a instância do RDS

Etapa 5: Testar a conexão

Conecte-se à instância do RDS usando a ferramenta de linha de comando psql. Use as credenciais do usuário padrão do AD, não a senha da conta do RDS.

psql -h <RDS instance endpoint> -U ldapuser -p 5432 -d postgres

Quando solicitado, insira a senha do AD para ldapuser (não a senha da conta do RDS).

Instale o cliente do PostgreSQL antes de usar o psql . Para outros métodos de conexão, consulte Connect to an ApsaraDB RDS for PostgreSQL instance .

Importar registros de service de domínio AD em massa (opcional)

Para configurar vários registros de service de domínio AD simultaneamente, use o recurso de importação em massa.

Modos de importação:

• Overwrite existing service information — substitui todos os registros atuais.

• Additional service information (highest priority) — insere os novos registros no início, conferindo-lhes prioridade maior que a dos registros existentes.

• Additional service information (lowest priority) — anexa os novos registros ao final, conferindo-lhes prioridade menor que a dos registros existentes.

Formato obrigatório:

TYPE|DATABASE|USER1|ADDRESS|MASK|METHOD|OPTION

Exemplo de registro:

host|all|ldapuser|0.0.0.0/0||ldap|ldapserver=<ECS private IP> ldapbasedn="CN=Users,DC=pgsqldomain,DC=net" ldapbinddn="CN=<AD administrator username>,CN=Users,DC=pgsqldomain,DC=net" ldapbindpasswd="<AD administrator password>" ldapsearchattribute="sAMAccountName"

Insira os registros na caixa de texto Edit AD domain, selecione um modo de importação e envie.

Visualizar histórico de edições do service de domínio AD

1. No console do RDS, clique no ID da instância e acesse Accounts > AD Domain Services Edit History.

2. Clique em changedetails na coluna Actions para visualizar os detalhes da alteração. Se uma modificação falhar, o status exibirá Not Taking Effect. Clique em Change log para ver a mensagem de erro.

   

Próximos passos

• Configure SSL encryption for an ApsaraDB RDS for PostgreSQL instance

• Introdução ao arquivo pg_hba.conf