שילוב תמיכה במשתמשי Active Directory עם AlloyDB Omni

בחירת גרסה של מאמר העזרה:

בדף הזה מוסבר איך לשלב את AlloyDB Omni עם ההטמעה הקיימת של Active Directory, כדי שתוכלו להשתמש בשמות המשתמשים והסיסמאות הקיימים כדי לגשת למסד הנתונים של AlloyDB Omni. שילוב עם Active Directory מספק את Kerberos כמנגנון ברירת המחדל לאימות כדי לתקשר עם AlloyDB Omni. מידע נוסף זמין במאמר סקירה כללית של Active Directory.

ההגדרה של Active Directory ב-AlloyDB Omni היא אופציונלית ומושבתת כברירת מחדל. רק סביבות שמשתמשות בשרת Active Directory לאימות יכולות להשתמש במנגנון ההגדרה הזה.

לפני שמתחילים

לפני שמשלבים את Active Directory, חשוב לוודא שאתם עומדים בדרישות הבאות:

  • מוודאים שהגדרתם את Active Directory.
  • משיגים את ה-REALM של שרת Active Directory.
  • מקבלים את שם המארח של המרכז להקצאת מפתחות (KDC) של שרת Active Directory. שם המארח מאוחסן בקובצי האימג' של Docker.
  • מקבלים את שם המארח של שרת האדמין של שרת ה-Active Directory. שם המארח הזה מאוחסן בקובצי האימג' של Docker.
  • מוודאים שיש לכם גישה לשרת Active Directory כדי שתוכלו ליצור קובץ .keytab.
  • בוחרים משתמש Active Directory לשימוש בבדיקה ובכניסה.
  • מורידים קובץ .keytab משרת ה-Active Directory הקיים.

משיגים קובץ ‎ .keytab משרת ה-Active Directory הקיים

כדי לקבל קובץ keytab משרת Active Directory, פועלים לפי השלבים הבאים:

  1. נכנסים כאדמינים לטרמינל של PowerShell בשרת של Active Directory.
  2. מריצים את הפקודה הבאה כדי ליצור משתמש בשם postgres, או משתמשים בממשק המשתמש של Active Directory.
    3.   New-ADUser -Name "postgres" `
               -SamAccountName "postgres" `
               -UserPrincipalName "postgres@REALM" `
               -Description "Service Account for AlloyDB Omni PostgreSQL Kerberos Authentication" `
               -AccountPassword (Read-Host -AsSecureString "Set a strong password for the postgres service account") `
               -Enabled $true `
               -PasswordNeverExpires $true
  3. יוצרים קובץ keytab של חשבון ראשי לשירות שממופה לשרת Active Directory הזה.
    4.   ktpass /princ postgres/ALLOYDB_HOST_NAME@REALM /Pass ChangeMe123 /mapuser postgres /crypto ALL /ptype KRB5_NT_PRINCIPAL /mapOp set /out C:\Users\Public\postgres.keytab

    ‫<HOST> הוא שם הדומיין שמוגדר במלואו של השרת שבו רוצים לפרוס את AlloyDB Omni, לדוגמה alloydb-server.ad.example.com. צריך להגדיר את אותו מארח בקובץ krb5.conf במיפוי התחום של הדומיין.

  4. מעתיקים את קובץ ה-keytab למחשב Linux.

הפעלת אימות באמצעות Active Directory

כדי להפעיל אימות של Active Directory ב-AlloyDB Omni, פועלים לפי השלבים הבאים, שכוללים הגדרה של ממשק תכנות יישומים (API) גנרי לשירות אבטחה (GSSAPI) – ממשק תכנות יישומים שמאפשר לתוכנות לגשת לשירותי אבטחה.

  1. מוסיפים את הרשומות הבאות לקובץ /var/lib/postgresql/data/pg_hba.conf, לפני הרשומה
    host all all all scram-sha-256.

    1. מריצים את פקודת Docker הבאה כדי להוסיף את gss בתוך הקונטיינר:

      docker exec CONTAINER_NAME sed -i 's;^host all all all scram-sha-256$;hostgssenc all all 0.0.0.0/0 gss map=gssmap\n&;' /var/lib/postgresql/data/pg_hba.conf

    2. מריצים את פקודת Docker הבאה כדי לוודא שהקובץ pg_hba.conf נמצא בתוך הקונטיינר:

      docker exec CONTAINER_NAME cat /var/lib/postgresql/data/pg_hba.conf

    3. מוודאים שהרשומה הבאה נמצאת בקובץ:

      hostgssenc all all 0.0.0.0/0 gss map=gssmap

      מידע נוסף זמין במאמר The pg_hba.conf File.

  2. מעתיקים את קובץ הכרטיסייה של המפתח לספריית הנתונים בתוך תמונת AlloyDB Omni.

    docker cp PATH TO KEYTAB FILE CONTAINER_NAME:/var/lib/postgresql/data/alloydb.keytab
docker exec CONTAINER_NAME chmod 600 /var/lib/postgresql/data/alloydb.keytab
docker exec CONTAINER_NAME chown postgres:postgres /var/lib/postgresql/data/alloydb.keytab

    קובץ ה-keytab נוצר על ידי Kerberos לשרת PostgreSQL. מידע נוסף על אימות זמין במאמר אימות GSSAPI.

  3. מוסיפים רשומה לקובץ keytab בקובץ /var/lib/postgresql/data/DATA_DIR/postgresql.conf.

    1. מריצים את פקודת Docker הבאה כדי להוסיף את הרשומה בתוך הקונטיינר:

      docker exec CONTAINER_NAME sed -i '$akrb_server_keyfile='"'"'/var/lib/postgresql/data/alloydb.keytab'"'" /var/lib/postgresql/data/postgresql.conf

    2. מריצים את פקודת Docker הבאה כדי לאמת את הקובץ postgresql.conf בתוך הקונטיינר:

      docker exec CONTAINER_NAME tail  /var/lib/postgresql/data/postgresql.conf

    3. מוודאים שהרשומה הבאה נמצאת בקובץ:

      krb_server_keyfile=/var/lib/postgresql/data/alloydb.keytab

      מידע נוסף זמין במאמר krb_server_keyfile.

  4. אופציונלי: מוסיפים רשומות לקובץ /var/lib/postgresql/data/DATA_DIR/pg_ident.conf.

    כשמשתמשים במערכת אימות חיצונית כמו GSSAPI, יכול להיות שהשם של משתמש מערכת ההפעלה שיזם את החיבור לא יהיה זהה למשתמש (תפקיד) במסד הנתונים שרוצים להשתמש בו.

    במקרה כזה, צריך לציין את המיפוי של משתמש המערכת למשתמש PostgreSQL בקובץ /var/lib/postgresql/data/DATA_DIR/pg_ident.conf:

    docker exec -it CONTAINER_NAME bash
$ echo -e "
gssmap              /^(.*)@EXAMPLE\.COM$     \1
gssmap              /^(.*)@example\.com$     \1
" | column -t | tee -a /var/lib/postgresql/data/pg_ident.conf

    כדי להטמיע מיפוי של שמות משתמשים, צריך לציין את map=gssmap בשדה האפשרויות בקובץ pg_hba.conf.

    למידע נוסף על אימות מבוסס-ident, קראו את המאמר מיפוי ident.

  5. טוענים מחדש את ההגדרות של PostgreSQL באמצעות הפקודה הבאה:

    docker exec -it CONTAINER_NAME psql -h localhost -U postgres
psql (16.3)
Type "help" for help.
postgres=# select pg_reload_conf();

בדיקת האימות של Active Directory

כדי לוודא שהאימות ב-Active Directory פועל, פועלים לפי השלבים הבאים:

  1. נכנסים ל-Active Directory באמצעות kinit.

  2. מריצים את הפקודה הבאה של psql מהמכונה שבה בדרך כלל מריצים את kinit:

    root@4f6414ad02ef:/# kinit AD_USER_NAME
Password for user1@YOUR.REALM:

root@4f6414ad02ef:/# psql --h ALLOYDB_SERVER_HOST_NAME -U AD_USER_NAME
psql (16.6 (Ubuntu 16.6-0ubuntu0.24.04.1), server 16.3)
GSSAPI-encrypted connection
Type "help" for help.

user1=#

השבתת האימות באמצעות Active Directory

כדי להשבית את האימות של Active Directory ב-AlloyDB Omni, צריך להשבית את GSSAPI:

  1. מסירים את הרשומות בקובץ pg_hba.conf שמפנות לשיטת האימות gss:

    docker exec CONTAINER_NAME sed -i '/hostgssenc all all 0.0.0.0\/0 gss map=gssmap/d' /var/lib/postgresql/data/pg_hba.conf

  2. טוענים מחדש את ההגדרות של PostgreSQL באמצעות הפקודה הבאה:

    docker exec -it CONTAINER_NAME psql -h localhost -U postgres
psql (16.3)
Type "help" for help.
postgres=# select pg_reload_conf();

המאמרים הבאים