Menyiapkan Otentikasi Windows untuk RDS Instans Kustom untuk SQL Server

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Sebaiknya buat kredensyal OU dan layanan khusus yang tercakup pada OU tersebut untuk siapa pun Akun AWS yang memiliki instans RDS Custom for SQL Server DB yang bergabung dengan domain AD Anda. Dengan mendedikasikan kredensi OU dan layanan, Anda menghindari izin yang bertentangan dan mengikuti prinsip hak istimewa paling sedikit.

Kebijakan grup tingkat direktori aktif mungkin bertentangan dengan AWS otomatisasi dan izin. GPOSebaiknya pilih yang hanya berlaku untuk OU yang Anda buat untuk RDS Custom for SQL Server.

Berikut ini adalah persyaratan untuk akun layanan domain AD:

Ini adalah set minimum izin yang diperlukan untuk menggabungkan objek komputer ke AD yang dikelola sendiri dan. AWS Managed Microsoft AD Untuk informasi selengkapnya, lihat Kesalahan: Akses ditolak ketika pengguna non-administrator yang telah didelegasikan kontrol mencoba menggabungkan komputer ke pengontrol domain dalam dokumentasi Microsoft Windows Server.

Langkah 1: Buat unit organisasi (OU) di AD Anda

Gunakan langkah-langkah berikut untuk membuat unit organisasi di AD Anda:

Untuk AWS Managed Microsoft AD, nama OU ini didasarkan dari BIOS nama Net yang Anda ketik saat Anda membuat direktori Anda. OU ini dimiliki oleh AWS dan berisi semua objek direktori AWS terkait Anda, yang Anda diberikan kendali penuh atas. Secara default, dua anak OUs ada di bawah OU ini, yaitu Komputer dan Pengguna. Baru OUs yang dibuat RDS Custom adalah anak dari OU yang didasarkan dari NetBIOS.

Langkah 2: Buat pengguna domain AD

Kredensyal pengguna domain digunakan untuk rahasia di Secrets Manager.

Langkah 3: Delegasikan kontrol ke pengguna AD dalam pengelolaan mandiri atau AWS Managed Microsoft AD

Langkah 4: Buat rahasia

Buat rahasia di daerah yang sama Akun AWS dan yang berisi instans RDS Custom for SQL Server DB yang ingin Anda sertakan dalam direktori aktif Anda. Simpan kredensyal pengguna domain AD yang dibuat di. Langkah 2: Buat pengguna domain AD

Console

• Di AWS Secrets Manager, pilih Simpan rahasia baru.

• Untuk Tipe rahasia, pilih Tipe rahasia lainnya.

• Untuk pasangan kunci/nilai, tambahkan dua kunci:

  • Kunci pertama, SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME dan masukkan nama pengguna AD Anda untuk nilainya.

  • Untuk kunci kedua, masukkan SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD dan masukkan kata sandi untuk pengguna AD Anda di domain Anda.

• Untuk kunci Enkripsi, masukkan AWS KMS kunci yang sama yang Anda gunakan untuk membuat contoh RDS Custom for SQL Server.

• Untuk nama Rahasia, pilih nama rahasia yang dimulai dengan do-not-delete-rds-custom- untuk memungkinkan profil instans Anda mengakses rahasia ini. JIKA Anda ingin memilih nama yang berbeda untuk rahasia, perbarui RDSCustomInstanceProfile untuk mengakses nama Rahasia.

• (Opsional) Untuk Deskripsi, masukkan deskripsi untuk nama rahasia.

• Tambahkan tag Key="AWSRDSCustom",Value="custom-sqlserver"

• Klik Simpan, lalu Berikutnya.

• Untuk Konfigurasikan pengaturan rotasi, pertahankan nilai default dan pilih Berikutnya.

• Tinjau pengaturan untuk rahasia lalu klik Simpan.

• Pilih rahasia baru dan salin nilai untuk Rahasia ARN. Kami menggunakan ini di langkah berikutnya untuk mengatur Direktori Aktif Anda.

CLI

Jalankan perintah berikut di Anda CLI untuk membuat rahasia:

# Linux based
aws secretsmanager create-secret \
--name do-not-delete-rds-custom-DomainUserCredentails \ 
--description "Active directory user credentials for managing RDS Custom" \ 
--secret-string "{\"SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"tester\",\"SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"xxxxxxxx\"}" \
--kms-key-id <RDSCustomKMSKey> \
--tags Key="AWSRDSCustom",Value="custom-sqlserver"

# Windows based
aws secretsmanager create-secret ^
--name do-not-delete-rds-custom-DomainUserCredentails ^ 
--description "Active directory user credentials for managing RDS Custom" ^
--secret-string "{\"SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"tester\",\"SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"xxxxxxxx\"}" ^
--kms-key-id <RDSCustomKMSKey> ^
--tags Key="AWSRDSCustom",Value="custom-sqlserver"

anchoranchor

• Console
• CLI

• Di AWS Secrets Manager, pilih Simpan rahasia baru.

• Untuk Tipe rahasia, pilih Tipe rahasia lainnya.

• Untuk pasangan kunci/nilai, tambahkan dua kunci:

  • Kunci pertama, SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME dan masukkan nama pengguna AD Anda untuk nilainya.

  • Untuk kunci kedua, masukkan SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD dan masukkan kata sandi untuk pengguna AD Anda di domain Anda.

• Untuk kunci Enkripsi, masukkan AWS KMS kunci yang sama yang Anda gunakan untuk membuat contoh RDS Custom for SQL Server.

• Untuk nama Rahasia, pilih nama rahasia yang dimulai dengan do-not-delete-rds-custom- untuk memungkinkan profil instans Anda mengakses rahasia ini. JIKA Anda ingin memilih nama yang berbeda untuk rahasia, perbarui RDSCustomInstanceProfile untuk mengakses nama Rahasia.

• (Opsional) Untuk Deskripsi, masukkan deskripsi untuk nama rahasia.

• Tambahkan tag Key="AWSRDSCustom",Value="custom-sqlserver"

• Klik Simpan, lalu Berikutnya.

• Untuk Konfigurasikan pengaturan rotasi, pertahankan nilai default dan pilih Berikutnya.

• Tinjau pengaturan untuk rahasia lalu klik Simpan.

• Pilih rahasia baru dan salin nilai untuk Rahasia ARN. Kami menggunakan ini di langkah berikutnya untuk mengatur Direktori Aktif Anda.

Langkah 5: Membuat atau memodifikasi RDS Custom for SQL Server DB instance

Buat atau modifikasi instance RDS Custom for SQL Server DB untuk digunakan dengan direktori Anda. Anda dapat menggunakan konsol,CLI, atau RDS API untuk mengaitkan instance DB dengan direktori. Anda dapat melakukannya dengan salah satu cara berikut:

Saat Anda menggunakan AWS CLI, parameter berikut diperlukan agar instans DB dapat menggunakan direktori yang Anda buat:

CLIPerintah berikut membuat instance RDS Custom for SQL Server DB baru dan bergabung dengan self-managed atau AWS Managed Microsoft AD domain.

Untuk Linux, macOS, atau Unix:

aws rds create-db-instance  \
--engine custom-sqlserver-se \
--engine-version 15.00.4312.2.v1 \
--db-instance-identifier my-custom-instance \
--db-instance-class db.m5.large \
--allocated-storage 100 --storage-type io1 --iops 1000 \
--master-username my-master-username \
--master-user-password my-master-password \
--kms-key-id  my-RDSCustom-key-id \
--custom-iam-instance-profile AWSRDSCustomInstanceProfileForRdsCustomInstance  \
--domain-fqdn "corp.example.com" \
--domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" \
--domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" \
--db-subnet-group-name my-DB-subnet-grp \
--vpc-security-group-ids  my-securitygroup-id \
--no-publicly-accessible \
--backup-retention-period 3 \
--port 8200 \
--region us-west-2 \
--no-multi-az 
            

Untuk Windows:

aws rds create-db-instance  ^
--engine custom-sqlserver-se ^
--engine-version 15.00.4312.2.v1 ^
--db-instance-identifier my-custom-instance ^
--db-instance-class db.m5.large ^
--allocated-storage 100 --storage-type io1 --iops 1000 ^
--master-usernamemy-master-username ^
--master-user-password my-master-password ^
--kms-key-id  my-RDSCustom-key-id ^
--custom-iam-instance-profile AWSRDSCustomInstanceProfileForRdsCustomInstance  ^
--domain-fqdn "corp.example.com" ^
--domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" ^
--domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" ^
--db-subnet-group-name my-DB-subnet-grp ^
--vpc-security-group-ids  my-securitygroup-id ^
--no-publicly-accessible ^
--backup-retention-period 3 ^
--port 8200 ^
--region us-west-2 ^
--no-multi-az

Perintah berikut memodifikasi instans RDS Custom for SQL Server DB yang ada untuk menggunakan domain Active Directory.

Untuk Linux, macOS, atau Unix:

aws rds modify-db-instance \
    --db-instance-identifier my-custom-instance \
    --domain-fqdn "corp.example.com" \
    --domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" \
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" \ 

Untuk Windows:

aws rds modify-db-instance ^
    --db-instance-identifier my-custom-instance ^
    --domain-fqdn "corp.example.com" ^
    --domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" ^
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" ^

CLIPerintah berikut menghapus dan RDS Custom for SQL Server DB instance dari domain Active Directory.

Untuk Linux, macOS, atau Unix:

aws rds modify-db-instance \
    --db-instance-identifier my-custom-instance \
    --disable-domain

Untuk Windows:

aws rds modify-db-instance ^
    --db-instance-identifier my-custom-instance ^
    --disable-domain

Saat menggunakan konsol untuk membuat atau memodifikasi instance Anda, klik Aktifkan Microsoft SQL Server Windows Authentication untuk melihat opsi berikut.

Anda bertanggung jawab untuk memastikan domain FQDN Anda diselesaikan ke alamat IP pengontrol domain. Jika pengontrol domain IPs tidak menyelesaikan, operasi gabungan domain gagal tetapi pembuatan instance RDS Custom for SQL Server berhasil. Untuk informasi pemecahan masalah, lihat Pemecahan Masalah Active Directory.

Langkah 6: Buat Login SQL Server Otentikasi Windows

Gunakan kredensyal pengguna RDS master Amazon untuk menyambung ke instans SQL Server DB seperti yang Anda lakukan untuk instans DB lainnya. Karena instans DB bergabung dengan domain AD, Anda dapat menyediakan login dan pengguna SQL Server. Anda melakukan ini dari utilitas pengguna dan grup AD di domain AD Anda. Izin database dikelola melalui izin SQL Server standar yang diberikan dan dicabut ke login Windows ini.

Agar pengguna AD dapat mengautentikasi dengan SQL SQL Server, login Server Windows harus ada untuk pengguna AD atau grup Direktori Aktif yang menjadi anggotanya. Kontrol akses berbutir halus ditangani melalui pemberian dan pencabutan izin pada login Server ini. SQL Pengguna AD yang tidak memiliki login SQL Server atau termasuk dalam grup AD dengan login seperti itu tidak dapat mengakses instans SQL Server DB.

ALTER ANY LOGINIzin diperlukan untuk membuat login AD SQL Server. Jika Anda belum membuat login dengan izin ini, sambungkan sebagai pengguna utama instans DB menggunakan Otentikasi SQL Server dan buat login SQL Server AD Anda di bawah konteks pengguna utama.

Anda dapat menjalankan perintah data definition language (DDL) seperti berikut ini untuk membuat login SQL Server untuk pengguna atau grup AD.

USE [master]
GO
CREATE LOGIN [mydomain\myuser] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english];
GO

Pengguna (baik manusia maupun aplikasi) dari domain Anda sekarang dapat terhubung ke instance RDS Custom for SQL Server dari mesin klien yang bergabung dengan domain menggunakan otentikasi Windows.

Langkah 7: Menggunakan Kerberos atau Otentikasi NTLM

NTLMotentikasi menggunakan endpoint RDS

Setiap instans Amazon RDS DB memiliki titik akhir dan setiap titik akhir memiliki DNS nama dan nomor port untuk instans DB. Untuk terhubung ke instans DB Anda menggunakan aplikasi SQL klien, Anda memerlukan DNS nama dan nomor port untuk instans DB Anda. Untuk mengautentikasi menggunakan NTLM otentikasi, Anda harus terhubung ke titik akhir. RDS

Selama pemeliharaan database yang direncanakan atau gangguan layanan yang tidak direncanakan, Amazon RDS secara otomatis gagal ke database up-to-date sekunder sehingga operasi dapat dilanjutkan dengan cepat tanpa intervensi manual. Contoh primer dan sekunder menggunakan titik akhir yang sama, yang alamat jaringan fisiknya bertransisi ke sekunder sebagai bagian dari proses failover. Anda tidak perlu mengonfigurasi ulang aplikasi Anda saat terjadi failover.

Autentikasi Kerberos

Autentikasi berbasis Kerberos untuk RDS Kustom untuk SQL Server memerlukan koneksi dibuat ke Nama Utama Layanan tertentu (). SPN Namun, setelah peristiwa failover, aplikasi mungkin tidak mengetahui yang baruSPN. Untuk mengatasi hal ini, RDS Custom for SQL Server menawarkan endpoint berbasis Kerberos.

Titik akhir berbasis Kerberos mengikuti format tertentu. Jika RDS titik akhir Andards-instance-name.account-region-hash.aws-region.rds.amazonaws.com, titik akhir berbasis Kerberos yang sesuai adalah. rds-instance-name.account-region-hash.aws-region.awsrds.fully qualified domain name (FQDN)

Misalnya, jika RDS titik akhir adalah ad-test.cocv6zwtircu.us-east-1.rds.amazonaws.com dan nama domainnyacorp-ad.company.com, titik akhir berbasis Kerberos akan menjadi. ad-test.cocv6zwtircu.us-east-1.awsrds.corp-ad.company.com

Titik akhir berbasis Kerberos ini dapat digunakan untuk mengautentikasi dengan instance SQL Server menggunakan Kerberos, bahkan setelah peristiwa failover, karena titik akhir diperbarui secara otomatis untuk menunjuk ke yang baru dari instance Server utama. SPN SQL

Menemukan Anda CNAME

Untuk menemukan AndaCNAME, sambungkan ke pengontrol domain Anda dan buka DNSManajer. Arahkan ke Zona Pencarian Maju dan Zona Pencarian AndaFQDN.

Arahkan melalui awsrds, aws-region, dan hash spesifik akun dan wilayah.

Jika Anda menghubungkan EC2 instance RDS Kustom dan mencoba terhubung ke database secara lokal menggunakanCNAME, koneksi Anda akan menggunakan NTLM otentikasi alih-alih Kerberos.

Jika setelah menghubungkan CNAME dari klien jarak jauh, NTLM koneksi dikembalikan, periksa apakah port yang diperlukan diizinkanterdaftar.

Untuk memeriksa apakah koneksi Anda menggunakan Kerberos, jalankan kueri berikut:

SELECT net_transport, auth_scheme
    FROM sys.dm_exec_connections
    WHERE session_id = @@SSPID;