Whitepaper. Produkt: combit Relationship Manager / Report Server. Windows Authentifizierung mit PostgreSQL. combit GmbH Untere Laube Konstanz

Transkript

1 combit GmbH Untere Laube Konstanz Whitepaper Produkt: combit Relationship Manager / Report Server Windows Authentifizierung mit PostgreSQL

2 Windows Authentifizierung mit PostgreSQL Inhalt Voraussetzungen 3 Vorgehensweise 3 Zusätzliche Information: Benutzernamenzuordnung 5

3 Windows Authentifizierung mit PostgreSQL Voraussetzungen Um die Windows Authentifizierung mit dem combit Relationship Manager / Report Server und PostgreSQL nutzen zu können, sind folgende Voraussetzungen notwendig: combit Relationship Manager ab Version oder combit Report Server PostgreSQL-Server ab Version 9.1 Eine Domänenumgebung Vorgehensweise Um sich über den combit Relationship Manager / Report Server per Windows Authentifizierung an einem PostgreSQL-Server anzumelden, müssen folgende Schritte durchgeführt werden: 1. Es muss ein Benutzer in der Domäne vorhanden oder neu angelegt werden, über den sich später der PostgreSQL-Dienst anmelden kann. 2. Der Besitzer des Ordners "[PostgreSQL-Installationspfad]\PostgreSQL\9.x\data", sowie aller Unterelemente, muss auf den Benutzer aus Schritt 1 geändert werden und anschließend volle Zugriffsrechte erhalten. 3. Beenden Sie zunächst den PostgreSQL-Dienst und ändern Sie die Anmeldedaten per Rechtsklick > 'Eigenschaften' auf den Dienst im Register 'Anmelden' auf den neuen Benutzer, starten Sie den Dienst anschließend wieder. Abbildung 1: Anmeldeeigenschaften des PostgreSQL-Dienstes 4. Anschließend müssen Sie dem ActiveDirectory "mitteilen", dass die Datenbank von dem neu angelegten Benutzer verwaltet wird, indem Sie dem Benutzer einen Dienstprinzipalnamen (SPN - Service Principal Name) hinzufügen. Führen Sie dazu in der Windows Eingabeaufforderung folgenden Befehl aus: setspn -S POSTGRES/[fully.qualified.domain.name/Absolute.Domänenadresse] DOMAIN\[service_account_name/DomänenDienstBenutzer] Alternativ kann dieser Schritt auch direkt in der Microsoft Management Konsolen-Erweiterung "Benutzer und Computer" oder anderen Tools durchgeführt werden, die das ActiveDirectory bzw. die Eigenschaft "serviceprincipalname" des Benutzers ändern können.

4 Windows Authentifizierung mit PostgreSQL Nun müssen Sie im PostgreSQL-Administrationstool ("[PostgreSQL- Installationspfad]\PostgreSQL\9.x\bin\pgAdmin3.exe") eine Login-Rolle für denjenigen Domänenbenutzer anlegen, der sich später im combit Relationship Manager / Report Server per Windows Authentifizierung einloggen können soll. Wählen Sie hierzu im Objektbrowser per Rechtsklick > 'Login-Rollen' > 'Neue Login-Rolle...'. Abbildung 2: Objektbrowser des PostgreSQL-Admintools 'pgadmin3' Beachten Sie bitte, dass der Login-Name exakt dem Name des Domänenbenutzers entsprechen muss (ein Workaround wird im Kapitel Zusätzliche Information: Benutzernamenzuordnung beschrieben) und dass die Login-Rolle volle Rollenprivilegien benötigt, damit alle Funktionen des combit Relationship Managers / Report Servers korrekt ausgeführt werden können. Abbildung 3: Rollenprivilegien einer PostgreSQL-Login-Rolle 6. In der Datei "[PostgreSQL-Installationspfad]\PostgreSQL\9.x\data\pg_hba.conf" muss nun noch die Anmeldemethode für den in Schritt 5 genannten Benutzer auf 'sspi' geändert bzw. neu eingetragen werden. TYPE DATABASE USER ADDRESS METHOD host all Domänen-Benutzer / Login-Rolle /32 sspi Tabelle 1: Einstellung der Anmeldemethoden von PostgreSQL Wenn Sie die Windows Authentifizierung für alle Benutzer nutzen möchten, kann unter 'USER' auch 'all' eingetragen werden. 7. Nun können Sie die Windows Authentifizierung als Anmeldeart im combit Relationship Manager / Report Server auswählen.

5 Windows Authentifizierung mit PostgreSQL Für weiterführende Informationen zu auftretenden Verbindungsproblemen finden Sie Protokolldateien im Verzeichnis "[PostgreSQL-Installationspfad]\PostgreSQL\9.x\data\pg_log\". Zusätzliche Information: Benutzernamenzuordnung Unter Umständen kann es gewünscht sein, dass Domänen-Benutzer und PostgreSQL Login-Name nicht übereinstimmen. Da PostgreSQL bei der Anmeldung per Windows Authentifizierung diese beiden Benutzer abgleicht, bevor Zugriff auf die Datenbank gewährt wird, muss für diesen Fall eine selbst konfigurierte Zuordnung zwischen Domänen-Benutzer und PostgreSQL Login-Name erstellt werden. Eine solche Zuordnung kann folgendermaßen erstellt werden: 1. In der Datei "[PostgreSQL-Installationspfad]\PostgreSQL\9.x\data\pg_hba.conf" muss hinter der Authentifizierungsmethode (im Falle der Windows Authentifizierung "sspi") ein Zuordnungsname im Format "map=[zuordnungsname]" angegeben werden. Ein Eintrag in dieser Datei könnte dann folgendermaßen aussehen: TYPE DATABASE USER ADDRESS METHOD host all Domänen-Benutzer / Login-Rolle /32 sspi map=[zuordnungsname] Tabelle 2: Beispieleintrag der pg_hba.conf-datei mit Zuordnungsname 2. Anschließend muss in der Datei "[PostgreSQL-Installationspfad]\PostgreSQL\9.x\data\pg_ident.conf" für den angegebenen Zuordnungsnamen die eigentliche Zuordnung angegeben werden. MAPNAME SYSTEM-USERNAME PG-USERNAME [Zuordnungsname] Domänen-/System-Benutzer PostgreSQL Login-Name Tabelle 3: Beispieleintrag der pg_ident.conf-datei Es können hierbei auch mehrere Domänen-/System-Benutzer für einen einzelnen Zuordnungsnamen in mehreren Zeilen angegeben werden. Außerdem gibt es die Möglichkeit als erstes Zeichen der SYSTEM-USERNAME Spalte einen Slash ("/") anzugeben, was zur Folge hat, dass der Rest des Feldes als Regulärer Ausdruck interpretiert wird. Weitere Informationen zur Benutzernamenzuordnung finden Sie außerdem auf folgender (englischen) PostgreSQL Dokumentationsseite: Hinweis: combit macht keine Angaben zu einer bestimmten Eignung obiger Informationen. Irrtümer und Fehler bleiben ausdrücklich vorbehalten, die Angaben erfolgen ohne Gewähr und enthalten keine Zusicherung. Die Informationen können z.t. auch ein Versuch sein, Ihnen bei einer Aufgabenstellung zu helfen, selbst wenn das Produkt eigentlich nicht für diesen speziellen Zweck vorgesehen wurde.