azure - Azure AD Workbench Redshift 経由で認証された iam ロール

Question

workbench/J から IAM 経由で redshift への認証を試みており、さまざまなリンクをたどっています: https://medium.com/tensult/aws-redshift-authentication-with-adfs-4ba423e2dc96 https://docs.amazonaws. cn/en_us/redshift/latest/mgmt/generating-user-credentials.html まだ接続できません。

私のワークベンチは次のようになります:

Driver : com.amazon.redshift.jdbc.Driver
url : jdbc:redshift:iam://<cluster-name>:<region>/<db>
username : org email id
password : org email id password

extended properties :
DbUser  employeeid
idp_port    443
AutoCreate  true
plugin_name com.amazon.redshift.plugin.AzureCredentialsProvider
idp_host    domain-id
preferred_role arn-of-IAM-Role

IAM ロールには、次のポリシーがすでにアタッチされています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "redshift:DescribeClusters",
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Sid": "GetClusterCredsStatement",
            "Effect": "Allow",
            "Action": [
                "redshift:GetClusterCredentials"
            ],
            "Resource": [
                "arn:aws:redshift:*:*:dbname:<cluster>/<db>",
                "arn:aws:redshift:*:*:dbuser:<cluster>/${Redshift:DbUser}",
                "arn:aws:redshift:*:*:dbgroup:<cluster>/<dbgroup>"
            ]
        },
        {
            "Sid": "CreateClusterUserStatement",
            "Effect": "Allow",
            "Action": [
                "redshift:CreateClusterUser"
            ],
            "Resource": [
                "arn:aws:redshift:*:*:dbname:<cluster>/<db>",
                "arn:aws:redshift:*:*:dbuser:<cluster>/${Redshift:DbUser}"
            ]
        },
        {
            "Sid": "RedshiftJoinGroupStatement",
            "Effect": "Allow",
            "Action": [
                "redshift:JoinGroup"
            ],
            "Resource": [
                "arn:aws:redshift:*:*:dbgroup:<cluster>/<dbgroup>"
            ]
        }
    ]
}

次のクレーム ルールも既に追加されています。

DbUser : user.employeeid
DbGroups : user.assignedroles
Role : the IAM role with policy attached above
RoleSessionName : user.userprincipalname

詳細を提供できますが、これらのリンクの内容に従っているだけです。それ以外の場合は、redshift クラスターへの接続が機能しています。

編集：

sqlworkbench ログをトレースして見つけました:Caused by: java.lang.NoClassDefFoundError: com/amazonaws/auth/profile/ProfilesConfigFile

編集2：

次のようにSQLワークベンチを起動しました：

java -Dworkbench.log.level=DEBUG -jar sqlworkbench.jar

を見て、tail -f $Home/.sqlworkbench/workbench.log

httpclient、httpcore、aws-sdk-java などのいくつかの jar が不足していることを確認するために。

今立ち往生idp_tenant required parameter missing

編集2:私は今までに進みました:

[JDBC Driver]SAML error: invalid_grant: AADSTS50126: Error validating credentials due to invalid username or password. Trace ID: 1c67cec4-bc2e-4140-bdc5-84e72ae50300 Correlation ID: 14be34b2-b9e2-49e5-8415-a388a8839c91 Timestamp: 2020-03-31 06:20:55Z 

Redshift Jar を逆コンパイルして、AzureCredentialsProvider プラグインのソース コードを確認することもできます。これは、Azure AD エンドで実際に問題が発生しています。ユーザー名/パスワードの資格情報が正しい間。