Menyiapkan Otentikasi Windows untuk instans SQL Server DB

Anda menggunakan AWS Directory Service for Microsoft Active Directory, juga disebut AWS Managed Microsoft AD, untuk mengatur Otentikasi Windows untuk instance SQL Server DB. Untuk mengatur Autentikasi Windows, lakukan langkah-langkah berikut.

Langkah 1: Buat direktori menggunakan AWS Directory Service for Microsoft Active Directory

AWS Directory Service membuat Microsoft Active Directory yang dikelola sepenuhnya di AWS Cloud. Saat Anda membuat AWS Managed Microsoft AD direktori, AWS Directory Service buat dua pengontrol domain dan server Layanan Nama Domain (DNS) atas nama Anda. Server direktori dibuat dalam dua subnet di dua Availability Zone yang berbeda dalam file. VPC Redundansi ini membantu memastikan bahwa direktori Anda tetap dapat diakses meskipun terjadi kegagalan.

Saat Anda membuat AWS Managed Microsoft AD direktori, AWS Directory Service lakukan tugas-tugas berikut atas nama Anda:

Saat Anda meluncurkan AWS Directory Service for Microsoft Active Directory, AWS buat Unit Organisasi (OU) yang berisi semua objek direktori Anda. OU ini, yang memiliki BIOS nama Net yang Anda ketik ketika Anda membuat direktori Anda, terletak di root domain. Root domain dimiliki dan dikelola oleh AWS.

Akun admin yang dibuat dengan direktori AWS Managed Microsoft AD Anda memiliki izin untuk aktivitas administratif paling umum untuk OU Anda:

Akun admin juga memiliki hak untuk melakukan aktivitas di seluruh domain berikut:

Pembuatan direktori memerlukan waktu beberapa menit. Setelah berhasil dibuat, nilai Status berubah menjadi Aktif.

Untuk melihat informasi tentang direktori Anda, pilih ID direktori di daftar direktori. Catat ID Direktori. Anda memerlukan nilai ini saat membuat atau memodifikasi instans SQL Server DB Anda.

Langkah 2: Buat IAM peran untuk digunakan oleh Amazon RDS

Jika Anda menggunakan konsol untuk membuat instance SQL Server DB, Anda dapat melewati langkah ini. Jika Anda menggunakan CLI atau RDS API untuk membuat instans SQL Server DB, Anda harus membuat IAM peran yang menggunakan IAM kebijakan AmazonRDSDirectoryServiceAccess terkelola. Peran ini memungkinkan Amazon RDS untuk melakukan panggilan ke AWS Directory Service untuk Anda.

Jika Anda menggunakan kebijakan khusus untuk bergabung dengan domain, daripada menggunakan AmazonRDSDirectoryServiceAccess kebijakan AWS-managed, pastikan Anda mengizinkan ds:GetAuthorizedApplicationDetails tindakan tersebut. Persyaratan ini berlaku mulai Juli 2019, karena perubahan dalam AWS Directory Service API.

IAMKebijakan berikut,AmazonRDSDirectoryServiceAccess, menyediakan akses ke AWS Directory Service.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
            "ds:DescribeDirectories", 
            "ds:AuthorizeApplication", 
            "ds:UnauthorizeApplication",
            "ds:GetAuthorizedApplicationDetails"
        ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Sebaiknya gunakan kunci konteks kondisi global aws:SourceArn dan aws:SourceAccount dalam hubungan kepercayaan berbasis sumber daya untuk membatasi izin layanan ke sumber daya tertentu. Ini adalah cara yang paling efektif untuk melindungi dari masalah confused deputy.

Anda dapat menggunakan kedua kunci konteks kondisi global tersebut dan nilai aws:SourceArn berisi ID akun. Dalam hal ini, nilai aws:SourceAccount dan akun dalam nilai aws:SourceArn harus menggunakan ID akun yang sama saat digunakan dalam pernyataan yang sama.

Dalam hubungan kepercayaan, pastikan untuk menggunakan kunci konteks kondisi aws:SourceArn global dengan Nama Sumber Daya Amazon (ARN) lengkap dari sumber daya yang mengakses peran. Untuk Autentikasi Windows, pastikan untuk menyertakan instans DB, seperti yang ditunjukkan pada contoh berikut.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rds.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": [
                        "arn:aws:rds:Region:my_account_ID:db:db_instance_identifier"
                    ]
                }
            }
        }
    ]
}

Buat IAM peran menggunakan IAM kebijakan ini dan hubungan kepercayaan. Untuk informasi selengkapnya tentang membuat IAM peran, lihat Membuat kebijakan yang dikelola pelanggan di Panduan IAM Pengguna.

Langkah 3: Buat dan konfigurasikan pengguna dan grup

Anda dapat membuat pengguna dan grup dengan alat Active Directory Users and Computers. Alat ini merupakan salah satu alat Active Directory Domain Services dan Active Directory Lightweight Directory Services. Pengguna merepresentasikan orang individu atau entitas yang memiliki akses ke direktori Anda. Grup sangat berguna untuk memberikan atau menolak hak akses ke grup pengguna, daripada harus menerapkan hak akses tersebut ke setiap pengguna.

Untuk membuat pengguna dan grup dalam AWS Directory Service direktori, Anda harus terhubung ke EC2 instance Windows yang merupakan anggota AWS Directory Service direktori. Anda juga harus masuk sebagai pengguna yang memiliki hak akses untuk membuat pengguna dan grup. Untuk informasi selengkapnya, lihat Menambahkan pengguna dan grup (Simple AD dan AWS Managed Microsoft AD) di Panduan AWS Directory Service Administrasi.

Langkah 4: Aktifkan VPC lintas lintas antara direktori dan instans DB

Jika Anda berencana untuk menemukan direktori dan instans DB yang samaVPC, lewati langkah ini dan lanjutkan keLangkah 5: Membuat atau memodifikasi instance SQL Server DB.

Jika Anda berencana untuk menemukan direktori dan instans DB yang berbedaVPCs, konfigurasikan VPC lintas lintas menggunakan VPC peering atau AWS Transit Gateway.

Prosedur berikut memungkinkan lalu lintas antara VPCs menggunakan VPC peering. Ikuti instruksi di Apa itu VPC mengintip? di Panduan Peering Cloud Pribadi Amazon Virtual.

Jika AWS akun lain memiliki direktori, Anda harus berbagi direktori.

Langkah 5: Membuat atau memodifikasi instance SQL Server DB

Buat atau modifikasi instance SQL Server DB untuk digunakan dengan direktori Anda. Anda dapat menggunakan konsol,CLI, atau RDS API untuk mengaitkan instance DB dengan direktori. Anda dapat melakukannya dengan salah satu cara berikut:

Otentikasi Windows hanya didukung untuk instans SQL Server DB di file. VPC

Agar instans DB dapat menggunakan direktori domain yang Anda buat, hal berikut diperlukan:

Saat Anda menggunakan AWS CLI, parameter berikut diperlukan agar instans DB dapat menggunakan direktori yang Anda buat:

Misalnya, CLI perintah berikut memodifikasi instance DB untuk menggunakan direktori.

Untuk Linux, macOS, atau Unix:

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --domain d-ID \
    --domain-iam-role-name role-name 
            

Untuk Windows:

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --domain d-ID ^
    --domain-iam-role-name role-name 		
            

Langkah 6: Buat login Windows Authentication SQL Server

Gunakan kredenal pengguna RDS master Amazon untuk terhubung ke instans SQL Server DB seperti yang Anda lakukan pada instans DB lainnya. Karena instans DB bergabung dengan AWS Managed Microsoft AD domain, Anda dapat menyediakan login SQL Server dan pengguna. Anda melakukannya dari pengguna dan grup Active Directory di domain Anda. Izin database dikelola melalui izin SQL Server standar yang diberikan dan dicabut ke login Windows ini.

Untuk pengguna Active Directory untuk mengautentikasi dengan SQL SQL Server, login Server Windows harus ada untuk pengguna atau grup yang pengguna adalah anggota. Kontrol akses berbutir halus ditangani melalui pemberian dan pencabutan izin pada login Server ini. SQL Pengguna yang tidak memiliki login SQL Server atau termasuk dalam grup dengan login seperti itu tidak dapat mengakses instance SQL Server DB.

ALTERANYLOGINIzin diperlukan untuk membuat login Active Directory SQL Server. Jika Anda belum membuat login dengan izin ini, sambungkan sebagai pengguna utama instans DB menggunakan SQL Server Authentication.

Jalankan perintah data definition language (DDL) seperti contoh berikut untuk membuat login SQL Server untuk pengguna atau grup Active Directory.

USE [master]
GO
CREATE LOGIN [mydomain\myuser] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english];
GO

Untuk informasi selengkapnya, lihat CREATELOGIN(Transact-SQL) di dokumentasi Microsoft Developer Network.

Pengguna (baik manusia maupun aplikasi) dari domain Anda sekarang dapat terhubung ke instance RDS for SQL Server dari mesin klien yang bergabung dengan domain menggunakan otentikasi Windows.