Kerberos-Authentifizierung

Wenn Ihre Umgebung die Kerberos zur Validierung von Benutzern verwendet, können Sie Kerberos anstelle der lokalen oder LDAP-Authentifizierung zur Validierung Ihrer Netezza Performance Server verwenden.

Bei der Kerberos-Authentifizierung werden Benutzer zuerst anhand des Benutzernamens und des Kennworts validiert, das auf dem Kerberos-Server gespeichert ist. Nach erfolgreicher Kerberos bestätigt das System dann, dass das Benutzerkonto als Netezza Performance Server definiert ist.

Der Kerberos-Administrator ist für das Hinzufügen und Verwalten der Benutzerkonten und Kennwörter sowie für das Inaktivieren von Konten auf dem Kerberos-Server verantwortlich. Der Netezza Performance Server muss sicherstellen, dass jeder Netezza Performance Server auch im Netezza Performance Server definiert ist.

Wichtig: Die Benutzernamen von Kerberos und Netezza Performance Server müssen übereinstimmen. Wenn Sie das System für die Verwendung der Kerberos konfigurieren, können Sie USERCASE=MATCHDB angeben, um Kerberos ohne Großbuchstaben in die Großschreibung des Netezza Performance Server zu konvertieren, die standardmäßig Großbuchstaben ist. Wenn Sie USERNAME=KEEP angeben, werden die Kerberos nicht umgewandelt, und die Namen von Kerberos und Netezza Performance Server müssen exakt übereinstimmen, einschließlich der Groß- und Kleinschreibung. Wenn die Benutzernamen nicht übereinstimmen, kann der Netezza Performance Server den ALTER USER-Befehl verwenden, um den Netezza Performance Server so zu ändern, dass er mit dem Kerberos übereinstimmt, oder sich an den Kerberos wenden, um den Kerberos so zu ändern, dass er mit dem Netezza Performance Server übereinstimmt.

Wenn Sie die Kerberos-Authentifizierung verwenden, werden alle Datenbankbenutzerkonten mit Ausnahme des Administratorkontos von Kerberos authentifiziert. Sie können Datenbankbenutzerkonten so konfigurieren, dass sie lokal als eine Ausnahme authentifiziert werden. Diese Implementierung unterstützt nicht einen kombinierten Kerberos- und LDAP-Authentifizierungsmodus. D. h., Sie können nicht einen Teil der Benutzer mit LDAP und einen anderen Teil mit Kerberos authentifizieren.

Informationen zur Kerberos-Software

Die Netezza Performance Server der Kerberos verwendet MIT Kerberos 5 Release 1.12.1. (Kerberos ist eine Marke des Massachusetts Institute of Technology (MIT).) Das Netezza Performance Server Software-Kit enthält alle erforderlichen Bibliotheken und Binärdateien, um Kerberos auf den Netezza Performance Server auszuführen. Die NPS-Client-Kits enthalten die Bibliotheken, die zur Verwendung der NPS-Clients, ODBC, JDBC und OLE DB-Konnektoren mit Kerberos der Datenbank-Benutzerkonten erforderlich sind. Ihre IT- oder Systemadministratoren sind für die Konfiguration der Kerberos-Umgebung auf Ihren Clientsystemen - einschließlich der Konfigurationsdateien und der Tools für die Verwaltung von Tickets - verantwortlich.

Wenn in Ihrer Umgebung eine frühere oder andere Version von Kerberos verwendet wird, beachten Sie, dass für Netezza Performance Server mindestens Kerberos 1.10 erforderlich ist. Es wird aus Kompatibilitätsgründen empfohlen, ein Upgrade auf das neueste Kerberos-Release 1.12.1 durchführen. Die Kerberos des Netezza Performance Server wurde nicht mit anderen Kerberos getestet und funktioniert möglicherweise nicht korrekt mit Kerberos vor 1.12.1. Wenn Ihre Kerberos eine frühere Version verwendet, verfügen Sie möglicherweise nicht über die Unterstützung für Mehrbenutzer-/Gleichzeit-Datenbankverbindungen vom selben Client aus (die z. B. von den ODBC, JDBC und OLE DB-Clients verwendet wird) oder über die Möglichkeit, eine Verbindung mit dem Netezza Performance Server über seinen Floating-Hostnamen und seine IP-Adresse herzustellen. Beide Features sind in Release 1.12.1 und höher verfügbar.

In der folgenden Tabelle sind die unterstützten Betriebssysteme und Revisionen für die Netezza Performance Server CLI-Clients aufgeführt.

Tabelle 1. Von Netezza® unterstützte Plattformen für die Kerberos
Betriebssystem 32 Bit 64 Bit
Windows
Windows 2008, Vista, 7, 10 Intel / AMD Intel / AMD
Windows Server 2012 Nicht zutreffend Intel / AMD
Linux®
Red Hat Enterprise Linux 5.3, 5.5, 5.7, 5.9, 6.1, 6.2, 6.4, 6.5 (siehe Hinweis unter der Tabelle) Intel / AMD Intel / AMD
Red Hat Enterprise Linux 6.2+ Nicht zutreffend PowerPC®
SUSE Linux Enterprise Server 11 Intel / AMD Intel / AMD
SUSE Linux Enterprise Server 10 und 11 sowie Red Hat Enterprise Linux 5.x IBM® System z® IBM System z
UNIX
IBM AIX® 6.1 mit 5.0.2.1 C++-Laufzeitbibliotheken, 7.1 Nicht zutreffend PowerPC
HP-UX 11i Version 1.6 und 2 (B.11.22 und B.11.23) Itanium Itanium
Oracle Solaris 9, 10, 11 SPARC SPARC
Oracle Solaris 10 x86 x86
Hinweis: Für viele Client-Plattformen ist die Unterstützung von Kerberos 1.12 durch den Hersteller des Betriebssystems möglicherweise nicht verfügbar. In diesen Fällen müssen Sie den Kerberos-Quellcode von der MIT-Kerberos-Website herunterladen und einen Build auf Ihrem lokalen System vornehmen. Für die vollständige Unterstützung der Features ist mindestens Release 1.10 erforderlich, aber Version 1.12 wird empfohlen.

Auf Windows-Plattformen müssen Sie MIT Kerberos für Windows 4.0.1 verwenden, um die Unterstützung mehrerer Benutzer zu aktivieren.