Аутентификация IAM DB AWS (RDS/Aurora)

В этой статье показано, как клиенты ClickPipes могут использовать Ролевое управление доступом для аутентификации при подключении к Amazon Aurora и RDS и безопасного доступа к своим базам данных.

Настройка

Перед началом работы

Убедитесь, что IAM-аутентификация включена

Войдите в свою учетную запись AWS и перейдите к экземпляру RDS, который хотите настроить.
Нажмите кнопку Modify.
Прокрутите страницу вниз до раздела Database authentication.
Включите параметр Password and IAM database authentication.
Нажмите кнопку Continue.
Проверьте изменения и выберите параметр Apply immediately.

Настройка пользователя базы данных

Подключитесь к своему экземпляру RDS/Aurora и создайте пользователя базы данных с включенной аутентификацией IAM, затем выполните остальные шаги из вашего руководства по настройке источника, чтобы настроить экземпляр для ClickPipes:

Получение ARN роли IAM сервиса ClickHouse

1 - Войдите в свою учетную запись ClickHouse Cloud. 2 - Выберите сервис ClickHouse, для которого хотите создать интеграцию 3 - Откройте вкладку Settings 4 - Прокрутите страницу вниз до раздела Network security information в нижней части страницы 5 - Скопируйте значение ID сервисной роли (IAM) для этого сервиса, как показано ниже. Обозначим это значение как {ClickHouse_IAM_ARN}. Эта роль IAM будет использоваться для доступа к вашему экземпляру RDS/Aurora.

Настройка роли IAM

Получение Resource ID для RDS/Aurora

Войдите в свою учетную запись AWS и перейдите к экземпляру RDS или кластеру Aurora, который нужно настроить.
Откройте вкладку Configuration.
Обратите внимание на значение Resource ID. Для RDS оно должно выглядеть как db-xxxxxxxxxxxxxx, а для кластера Aurora — как cluster-xxxxxxxxxxxxxx. Обозначим это значение как {RDS_RESOURCE_ID}. Этот идентификатор ресурса будет использоваться в политике IAM для предоставления доступа к экземпляру RDS.

Создайте роль IAM вручную.

1 - Войдите в свою учетную запись AWS в браузере под пользователем IAM, у которого есть разрешения на создание ролей IAM и управление ими. 2 - Перейдите в консоль сервиса IAM 3 - Создайте новую роль IAM со следующими политиками IAM и доверия. Политика доверия (замените {ClickHouse_IAM_ARN} на ARN роли IAM, связанной с вашим экземпляром ClickHouse):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "{ClickHouse_IAM_ARN}"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ]
    }
  ]
}

Политика IAM (замените {RDS_RESOURCE_ID} на Resource ID вашего экземпляра RDS). Также обязательно замените {RDS_REGION} на регион вашего экземпляра RDS/Aurora, а {AWS_ACCOUNT} — на идентификатор вашей учетной записи AWS:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "rds-db:connect"
      ],
      "Resource": [
        "arn:aws:rds-db:{RDS_REGION}:{AWS_ACCOUNT}:dbuser:{RDS_RESOURCE_ID}/clickpipes_iam_user"
      ]
    }
  ]
}

4 - После создания скопируйте новый ARN роли IAM. Он потребуется для безопасного доступа из ClickPipes к вашей базе данных AWS. Обозначим его как {RDS_ACCESS_IAM_ROLE_ARN}. Теперь вы можете использовать эту роль IAM для аутентификации из ClickPipes в вашем экземпляре RDS/Aurora.

ClickPipes для BigQuery

Программный доступ

Другое

Аутентификация IAM DB AWS (RDS/Aurora)

Настройка

Перед началом работы

Убедитесь, что IAM-аутентификация включена

Настройка пользователя базы данных

Получение ARN роли IAM сервиса ClickHouse

Настройка роли IAM

Получение Resource ID для RDS/Aurora

Создайте роль IAM вручную.

​Настройка

​Перед началом работы

​Убедитесь, что IAM-аутентификация включена

​Настройка пользователя базы данных

​Получение ARN роли IAM сервиса ClickHouse

​Настройка роли IAM

​Получение Resource ID для RDS/Aurora

​Создайте роль IAM вручную.

Настройка

Перед началом работы

Убедитесь, что IAM-аутентификация включена

Настройка пользователя базы данных

Получение ARN роли IAM сервиса ClickHouse

Настройка роли IAM

Получение Resource ID для RDS/Aurora

Создайте роль IAM вручную.