Directrices de seguridad del conector de destino de Teradata - Teradata QueryGrid

Los conectores de Teradata admiten mecanismos de seguridad De confianza, TD2, LDAP, Kerberos, SSO de Kerberos, SSO de JWT y TDNEGO cuando actúan como conectores de destino. Las siguientes consideraciones se aplican a cada uno de los mecanismos de seguridad:

• Matriz de compatibilidad de componentes y conectores de QueryGrid™
• El nombre de usuario y la contraseña asignados y comunicados por el conector de iniciador tienen prioridad sobre aquellos definidos para las propiedades del conector de destino de Teradata.

  Por ejemplo, si el iniciador de Teradata proporciona un objeto de autorización, tiene prioridad sobre la configuración de la propiedad del conector relacionada con la seguridad. La definición de estas propiedades del conector es opcional. Sin embargo, si el conector de iniciador no proporciona credenciales, deben existir un nombre de usuario y una contraseña en la configuración de la propiedad del conector.

• Si cambia las credenciales en la base de datos para un usuario de QueryGrid, también debe cambiar las credenciales en el conector. Si no se actualizan las credenciales del conector, las conexiones antiguas almacenadas en caché pueden permitir que las consultas se realicen correctamente, pero luego generarán un error cuando las conexiones expiren en la memoria caché.
• Un administrador puede definir asignaciones de usuario en el portlet QueryGrid si el usuario final del iniciador difiere del usuario final del sistema remoto. Este es el usuario al que se ha concedido el privilegio CONNECT THROUGH del sistema remoto.
• Para la asignación de usuarios, el usuario local que envía la consulta se asigna al usuario remoto que envía la consulta. La asignación de usuarios se aplica de la forma siguiente:
  • Para un conector de iniciador de Teradata, utilice la asignación de usuarios cuando se configura con autorización de DEFINER, siempre que el usuario local que envía la consulta no sea el mismo que el usuario que se autentica.
  • Para un conector de destino, la asignación de usuarios se aplica cuando se configura con el mecanismo de autenticación TRUSTED y el usuario remoto no es el mismo que el usuario que se autentica.
  • Para un conector de destino, la asignación de usuarios se aplica para los mecanismos de autenticación TD, TDNEGO, LDAP o Kerberos cuando la propiedad del conector Use Trusted se configura como true y el usuario remoto no es el mismo que el usuario que se autentica.

CREATE USER proxyuser AS PERM = 0 PASSWORD = password;
GRANT CONNECT THROUGH proxyuser TO PERMANENT target_end_user without role;
>> this target_end_user is the user that has access to objects that we will access from local system

Se requieren los siguientes valores de propiedad para los conectores de destino de Teradata mediante el modelo de seguridad de confianza.

Se requieren los siguientes valores de propiedad para los conectores de destino de Teradata con el modelo de seguridad TD2.

Puede configurar los conectores de destino de Teradata para utilizar la autenticación LDAP que incluya un nombre de usuario y una contraseña. Esto significa que las consultas con un destino de Teradata se pueden enviar mediante el mecanismo de seguridad LDAP para autenticarse; por ejemplo, la conexión de Presto a Teradata admite LDAP. Las siguientes propiedades deben configurarse para utilizar LDAP con conectores de destino de Teradata.

La configuración de Teradata Kerberos debe completarse antes de configurar QueryGrid. Los siguientes valores de propiedad son obligatorios para los conectores de destino de Teradata que usan el modelo de seguridad de Kerberos.

Las siguientes consideraciones se aplican a SSO de JWT:

• Esta característica es compatible con Teradata Vantage 17.20 y versiones posteriores.
• Tanto el sistema iniciador como el de destino deben configurarse para que SSO funcione con el intercambio de tokens (ya sea En nombre de o Intercambio de tokens estándar).
• El inicio de sesión desde el sistema Teradata iniciador debe utilizar el mecanismo JWT.
• El indicador de dbscontrol ForwardCredential en el sistema Teradata iniciador debe establecerse en TRUE (valor predeterminado) para habilitar esta característica en la base de datos.
• La comprobación de diagnóstico del conector no se admite cuando el mecanismo de autenticación es SSO de JWT.
• Se debe poder acceder a la IdP URL proporcionada en las propiedades del conector desde el nodo del controlador de destino.

Al configurar el mecanismo de autenticación TDNEGO, TDGSS determina automáticamente el mecanismo de autenticación real sin la participación del usuario. Teradata recomienda este proceso para el caso de uso en el que se desconoce el mecanismo de autenticación correcto. Establezca el mecanismo de autenticación como TDNEGO y proporcione las credenciales en el objeto de autorización o en las propiedades del conector.

• Mecanismos de autenticación compatibles con TDNEGO: TD2, LDAP, Kerberos y Kerberos SSO
• Disponibilidad: en todas las plataformas de servidor y cliente admitidas
• Nombre de usuario y contraseña: según el mecanismo de autenticación elegido

Las conexiones HTTPS/TLS están disponibles con el controlador JDBC de Teradata 17.10.00.07 y son compatibles con las siguientes bases de datos:

• SQL Engine 17.10 y versiones posteriores
• Advanced SQL Engine 16.20.53.30 y versiones posteriores