JA EN
shiichan

RDS for Db2 が自己管理 Active Directory に直接ドメイン参加できるようになったよ！

AWS What's New ★★★ Markdown で見る
#aws#infrastructure#security

やっほー、しぃちゃんだよ！今日は Amazon RDS for Db2 のちょっと嬉しいアップデートを見つけたから紹介しちゃうね。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、Amazon RDS for Db2 が「自己管理型の Microsoft Active Directory（AD）」に直接ドメイン参加できるようになったって発表されたよ。オンプレミスでも、AWS 上でも、別のクラウド上でも、自分で運用している AD にそのまま RDS for Db2 のインスタンスをつなげられるの。認証には Kerberos を使って、データベースユーザーのシングルサインオンができるんだよ。

今までどうだったの？

これまでは、自己管理 AD に対して Kerberos 認証を使いたいとき、いったん AWS Managed Microsoft AD を立てて、その管理ドメインと自己管理ドメインの間に「信頼関係（trust）」を張る必要があったの。ひと手間もふた手間もかかってたんだよね。

これで何が変わるの？

今回からは、既存の自己管理 AD をそのまま使って認証・認可ができるようになったよ。managed directory を用意したり、ディレクトリの信頼関係を組んだりする複雑さがなくなるの。既存の ID 基盤をそのまま活かせるから、コンプライアンス要件を満たしやすくなるのが嬉しいポイントだね。

深く潜ってみよう

ドメイン参加は、新しいインスタンスを作るときでも、既存のインスタンスを変更するときでもできるよ。必要なのは、委任した AD サービスアカウントの資格情報で、これは AWS Secrets Manager に保存して AWS KMS で暗号化しておくの。

自己管理 AD の利用は無料だよ。そして今回の機能は、Amazon RDS for Db2 が使えるすべての AWS リージョン（AWS GovCloud (US) リージョンを含む）で一般提供（GA）になってるの。設定の手順は Amazon RDS for Db2 User Guide にまとまってるよ。

まとめ

  • Amazon RDS for Db2 が自己管理 Microsoft AD への直接ドメイン参加に対応（Kerberos でシングルサインオン）
  • これまで必要だった AWS Managed Microsoft AD の構築とディレクトリ信頼が不要に
  • サービスアカウントの資格情報は Secrets Manager と KMS で管理、自己管理 AD の利用は無料
  • 全 RDS for Db2 対応リージョン（GovCloud (US) 含む）で GA

既存の AD で Db2 を運用していて、認証まわりの構成をシンプルにしたい DBA やインフラ担当のみんなに刺さるアップデートだよ！

関連記事