# RDS for SQL Server를 사용하여 Active Directory 작업 RDS for SQL Server DB 인스턴스를 Microsoft Active Directory(AD) 도메인에 가입시킬 수 있습니다. AD 도메인은 AWS 내의 AWS 관리형 AD, 선택한 위치의 자체 관리형 AD(기업 데이터 센터 포함) 또는 AWS EC2에서 호스팅하거나 다른 클라우드 공급자를 통해 호스팅할 수 있습니다. 자체 관리형 Active Directory 및 AWS Managed Microsoft AD를 통해 NTLM 인증과 Kerberos 인증을 사용하여 도메인 사용자를 인증할 수 있습니다. 다음 섹션에서는 Amazon RDS에서 Microsoft SQL Server용 자체 관리형 Active Directory 및 AWS 관리형 Active Directory를 사용하여 작업하는 정보를 찾을 수 있습니다. **Topics** + [Amazon RDS for SQL Server DB 인스턴스를 사용하여 자체 관리형 Active Directory 작업](USER_SQLServer_SelfManagedActiveDirectory.md) + [RDS for SQL Server를 사용하여 AWS 관리형 Active Directory 작업](USER_SQLServerWinAuth.md) # Amazon RDS for SQL Server DB 인스턴스를 사용하여 자체 관리형 Active Directory 작업 Amazon RDS for SQL Server는 데이터 센터, Amazon EC2 또는 다른 클라우드 공급자 등 AD가 호스팅되는 위치에 관계없이 자체 관리형 Active Directory(AD) 도메인과 원활하게 통합됩니다. 이 통합을 통해 NTLM 또는 Kerberos 프로토콜을 통해 직접 사용자 인증을 사용할 수 있으므로 복잡한 중간 도메인 또는 포리스트 신뢰가 필요하지 않습니다. RDS SQL Server DB 인스턴스에 연결하면 인증 요청이 지정된 AD 도메인으로 안전하게 전달되어, Amazon RDS의 관리형 데이터베이스 기능을 활용하면서 기존 ID 관리 구조를 유지합니다. **Topics** + [리전 및 버전 사용 가능 여부](#USER_SQLServer_SelfManagedActiveDirectory.RegionVersionAvailability) + [요구 사항](USER_SQLServer_SelfManagedActiveDirectory.Requirements.md) + [고려 사항](#USER_SQLServer_SelfManagedActiveDirectory.Limitations) + [자체 관리형 Active Directory 설정](USER_SQLServer_SelfManagedActiveDirectory.SettingUp.md) + [DB 인스턴스를 자체 관리형 Active Directory에 조인](USER_SQLServer_SelfManagedActiveDirectory.Joining.md) + [자체 관리형 Active Directory 도메인에서 DB 인스턴스 관리](USER_SQLServer_SelfManagedActiveDirectory.Managing.md) + [자체 관리형 Active Directory 도메인 멤버십에 대한 이해](#USER_SQLServer_SelfManagedActiveDirectory.Understanding) + [자체 관리형 Active Directory 문제 해결](USER_SQLServer_SelfManagedActiveDirectory.TroubleshootingSelfManagedActiveDirectory.md) + [SQL Server DB 인스턴스를 복원한 후 자체 관리형 Active Directory 도메인에 추가](#USER_SQLServer_SelfManagedActiveDirectory.Restore) ## 리전 및 버전 사용 가능 여부 Amazon RDS는 모든 상용 AWS 리전 및 AWS GovCloud (US) Regions에서 NTLM 및 Kerberos를 사용하는 자체 관리형 AD for SQL Server를 지원합니다. # 요구 사항 RDS for SQL Server DB 인스턴스를 자체 관리형 AD 도메인에 가입시키기 전에 다음 요구 사항을 충족해야 합니다. **Topics** + [온프레미스 AD 구성](#USER_SQLServer_SelfManagedActiveDirectory.Requirements.OnPremConfig) + [네트워크 연결 구성](#USER_SQLServer_SelfManagedActiveDirectory.Requirements.NetworkConfig) + [AD 도메인 서비스 계정 구성](#USER_SQLServer_SelfManagedActiveDirectory.Requirements.DomainAccountConfig) + [LDAPS를 통한 보안 통신 구성](#USER_SQLServer_SelfManagedActiveDirectory.Requirements.LDAPS) ## 온프레미스 AD 구성 Amazon RDS for SQL Server 인스턴스에 가입시킬 수 있는 온프레미스 또는 기타 자체 관리형 Microsoft AD가 있어야 합니다. 온프레미스 AD는 다음과 같은 구성을 가져야 합니다. + AD 사이트가 정의되어 있는 경우 RDS for SQL Server DB 인스턴스와 연결된 VPC의 서브넷이 AD 사이트에 정의되어 있는지 확인합니다. VPC의 서브넷과 다른 AD 사이트의 서브넷 간에 충돌이 없는지 확인합니다. + AD 도메인 컨트롤러의 도메인 기능 수준은 Windows Server 2008 R2 이상입니다. + AD 도메인 이름은 단일 레이블 도메인(SLD) 형식일 수 없습니다. RDS for SQL Server는 SLD 도메인을 지원하지 않습니다. + AD의 정규화된 도메인 이름(FQDN)이 47자를 초과하면 안 됩니다. ## 네트워크 연결 구성 다음 네트워크 구성을 충족하는지 확인합니다. + RDS for SQL Server DB 인스턴스를 생성하려는 Amazon VPC와 자체 관리형 Active Directory 간에 연결을 구성합니다. AWS Direct Connect, AWS VPN, VPC 피어링 또는 AWS 전송 게이트웨이를 사용하여 연결을 설정할 수 있습니다. + VPC 보안 그룹의 경우 기본 Amazon VPC의 기본 보안 그룹이 콘솔의 RDS for SQL Server DB 인스턴스에 이미 추가되었습니다. RDS for SQL Server DB 인스턴스를 만드는 서브넷의 보안 그룹과 VPC 네트워크 ACL이 다음 다이어그램에 표시된 방향으로 포트를 통한 트래픽을 허용하는지 확인합니다. ![\[자체 관리형 AD 네트워크 구성 포트 규칙입니다.\]](http://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/images/SQLServer_SelfManagedActiveDirectory_Requirements_NetworkConfig.png) 다음 테이블에는 각 포트의 역할이 나와 있습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/USER_SQLServer_SelfManagedActiveDirectory.Requirements.html) + 일반적으로 도메인 DNS 서버는 AD 도메인 컨트롤러에 있습니다. 이 기능을 사용하기 위해 VPC DHCP 옵션 세트를 구성할 필요는 없습니다. 자세한 정보는 *Amazon VPC 사용 설명서*의 [DHCP 옵션 세트](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_DHCP_Options.html)를 참조하세요. **중요** VPC 네트워크 ACL을 사용하는 경우 RDS for SQL Server DB 인스턴스의 동적 포트(49152-65535)를 통한 아웃바운드 트래픽도 허용해야 합니다. 이러한 트래픽 규칙이 각 AD 도메인 컨트롤러, DNS 서버 및 RDS for SQL Server DB 인스턴스에 적용되는 방화벽에도 반영되는지 확인하세요. VPC 보안 그룹에서는 네트워크 트래픽이 시작되는 방향으로만 포트를 열어야 하지만, 대부분의 Windows 방화벽과 VPC 네트워크 ACL에서는 포트가 양방향으로 열려 있어야 합니다. ## AD 도메인 서비스 계정 구성 AD 도메인 서비스 계정에 대한 다음 요구 사항을 충족했는지 확인합니다. + 자체 관리형 AD 도메인에는 컴퓨터를 도메인에 연결할 수 있는 권한이 위임된 도메인 서비스 계정이 있어야 합니다. 도메인 서비스 계정은 특정 작업을 수행할 권한이 위임된 자체 관리형 AD의 사용자 계정입니다. + 도메인 서비스 계정은 RDS for SQL Server DB 인스턴스에 가입시키려는 조직 단위(OU)에서 다음 권한을 위임받아야 합니다. + DNS 호스트 이름에 쓸 수 있는 검증된 기능 + 서비스 보안 주체 이름에 쓸 수 있는 검증된 기능 + 컴퓨터 객체 생성 및 삭제 이러한 권한은 컴퓨터 객체를 자체 관리형 AD에 조인하는 데 필요한 최소 권한 집합을 나타냅니다. 자세한 내용은 Microsoft Windows Server 설명서에서 [컴퓨터를 도메인에 연결하려고 할 때 발생하는 오류](https://learn.microsoft.com/en-US/troubleshoot/windows-server/identity/access-denied-when-joining-computers)를 참조하세요. + Kerberos 인증을 사용하려면 AD 도메인 서비스 계정에 서비스 위탁자 이름(SPN) 및 DNS 권한을 제공해야 합니다. + **SPN 쓰기**: RDS for SQL Server DB 인스턴스에 조인해야 하는 OU의 AD 도메인 서비스 계정에 **SPN 쓰기** 권한을 위임합니다. 이 권한은 검증된 쓰기 SPN과 다릅니다. + **DNS 권한**: 도메인 컨트롤러의 서버 수준에서 DNS 관리자의 AD 도메인 서비스 계정에 다음 권한을 제공합니다. + 콘텐츠 나열 + 모든 속성 읽기 + 권한 읽기 **중요** DB 인스턴스를 만든 후에는 RDS for SQL Server가 조직 단위에서 생성한 컴퓨터 객체를 옮기지 마세요. 연결된 객체를 이동하면 RDS for SQL Server DB 인스턴스가 잘못 구성될 수 있습니다. Amazon RDS에서 생성한 컴퓨터 객체를 이동해야 하는 경우 [ModifyDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBInstance.html) RDS API 작업을 사용하여 컴퓨터 객체의 원하는 위치로 도메인 파라미터를 수정하세요. ## LDAPS를 통한 보안 통신 구성 RDS가 도메인 컨트롤러의 SPNs뿐만 아니라 컴퓨터 객체를 쿼리하고 액세스하는 데 LDAPS를 통한 통신이 권장됩니다. 보안 LDAP를 사용하려면 보안 LDAPS 요구 사항을 충족하는 도메인 컨트롤러에서 유효한 SSL 인증서를 사용합니다. 도메인 컨트롤러에 유효한 SSL 인증서가 없는 경우 RDS for SQL Server DB 인스턴스는 기본적으로 LDAP를 사용합니다. 인증서 유효성에 대한 자세한 내용은 [LDAPS 인증서 요구 사항](https://learn.microsoft.com/en-us/troubleshoot/windows-server/active-directory/enable-ldap-over-ssl-3rd-certification-authority#requirements-for-an-ldaps-certificate)을 참조하세요. ## 고려 사항 자체 관리형 AD에 RDS for SQL Server DB 인스턴스를 추가할 때는 다음 사항을 고려하세요. + DB 인스턴스는 AD 도메인의 시간 서버가 아닌 AWS의 NTP 서비스와 동기화됩니다. AD 도메인 내에서 연결된 SQL Server 인스턴스 간의 데이터베이스 연결의 경우, SQL 인증만 가능하며 Windows 인증은 사용할 수 없습니다. + 자체 관리형 AD 도메인의 Group Policy Object 설정은 RDS for SQL Server 인스턴스에 전파되지 않습니다. # 자체 관리형 Active Directory 설정 자체 관리형 AD를 설정하려면 다음 단계를 따르세요. **Topics** + [1단계: AD에서 조직 단위 생성](#USER_SQLServer_SelfManagedActiveDirectory.SettingUp.CreateOU) + [2단계: AD에서 AD 도메인 서비스 계정 생성](#USER_SQLServer_SelfManagedActiveDirectory.SettingUp.CreateADuser) + [3단계: AD 도메인 서비스 계정에 제어 위임](#USER_SQLServer_SelfManagedActiveDirectory.SettingUp.DelegateControl) + [4단계: AWS KMS 키 생성](#USER_SQLServer_SelfManagedActiveDirectory.SettingUp.CreateKMSkey) + [5단계: AWS 보안 암호 생성](#USER_SQLServer_SelfManagedActiveDirectory.SettingUp.CreateSecret) ## 1단계: AD에서 조직 단위 생성 **중요** 자체 관리형 AD 도메인에 가입된 RDS for SQL Server DB 인스턴스를 소유한 AWS 계정에 대해 전용 OU 및 해당 OU 범위의 서비스 보안 인증을 만드는 것이 좋습니다. 전용 OU 및 서비스 보안 인증을 지정하면 권한 충돌을 피하고 최소 권한 원칙을 따를 수 있습니다. **AD에서 OU를 생성하려면** 1. 도메인 관리자로 AD 도메인에 연결합니다. 1. **Active Directory 사용자 및 컴퓨터**를 열고 OU를 생성할 도메인을 선택합니다. 1. 도메인을 마우스 오른쪽 버튼으로 클릭하고 **새로 만들기**를 선택한 다음 **조직 단위**를 선택합니다. 1. OU 이름을 입력합니다. 1. **컨테이너가 실수로 삭제되지 않도록 보호** 확인란을 선택한 상태로 유지합니다. 1. **확인**을 클릭합니다. 새 OU는 도메인 아래에 표시됩니다. ## 2단계: AD에서 AD 도메인 서비스 계정 생성 도메인 자격 증명은 AWS Secrets Manager에서 보안 암호로 사용됩니다. **AD에서 AD 도메인 서비스 계정 생성** 1. **Active Directory 사용자 및 컴퓨터**를 열고 사용자를 생성할 도메인과 OU를 선택합니다. 1. **사용자** 객체를 마우스 오른쪽 버튼으로 클릭하고 **새로 만들기**, **사용자** 순으로 선택합니다. 1. 사용자의 이름, 성 및 로그온 이름을 입력합니다. **다음**을 클릭합니다. 1. 사용자의 암호를 입력합니다. **“다음 로그인 시 사용자가 암호를 변경해야 함”**을 선택하지 마세요. **“계정이 비활성화됨”**을 선택하지 마세요. **다음**을 클릭합니다. 1. **확인**을 클릭합니다. 새 사용자는 도메인 아래에 표시됩니다. ## 3단계: AD 도메인 서비스 계정에 제어 위임 **도메인의 AD 도메인 서비스 계정에 제어 권한 위임** 1. **Active Directory 사용자 및 컴퓨터** MMC 스냅인을 열고 사용자를 생성할 도메인을 선택합니다. 1. 이전에 만든 OU를 마우스 오른쪽 버튼으로 클릭하고 **제어 위임**을 선택합니다. 1. **제어 위임 마법사**에서 **다음**을 클릭합니다. 1. **사용자 또는 그룹** 섹션에서 **추가**를 클릭합니다. 1. **사용자, 컴퓨터 또는 그룹 선택** 섹션에서 생성한 AD 도메인 서비스 계정을 입력하고 **이름 확인**을 클릭합니다. AD 도메인 서비스 계정 확인에 성공하면 **확인**을 클릭합니다. 1. **사용자 또는 그룹** 섹션에서 AD 도메인 서비슥 ㅖ정이 추가되었는지 확인하고 **다음**을 클릭합니다. 1. **위임할 작업** 섹션에서 **위임할 사용자 지정 작업 생성**을 선택하고 **다음**을 클릭합니다. 1. **Active Directory 객체 유형** 섹션에서: 1. **폴더의 다음 객체만**을 선택합니다. 1. **컴퓨터 객체**를 선택합니다. 1. **이 폴더에서 선택한 객체 생성**을 선택합니다. 1. **이 폴더에서 선택한 객체 삭제**를 선택하고 **다음**을 클릭합니다. 1. **권한** 섹션에서: 1. **일반**을 선택한 상태로 유지합니다. 1. **DNS 호스트 이름에 대한 검증된 쓰기**를 선택합니다. 1. **서비스 보안 주체 이름에 대한 검증된 쓰기**를 선택하고 **다음**을 클릭합니다. 1. Kerberos 인증을 활성화하려면 **속성별**을 선택한 상태로 유지하고 목록에서 **servicePrincipalName 쓰기**를 선택합니다. 1. **제어 위임 마법사를 완료하려면** 설정을 검토 및 확인한 다음 **마침**을 클릭합니다. 1. Kerberos 인증의 경우 DNS 관리자를 열고 **서버** 속성을 엽니다. 1. Windows 대화 상자에 `dnsmgmt.msc`를 입력합니다. 1. **보안** 탭 아래에 AD 도메인 서비스 계정을 추가합니다. 1. **읽기** 권한을 선택하고 변경 사항을 적용합니다. ## 4단계: AWS KMS 키 생성 KMS 키는 AWS 보안 암호를 암호화하는 데 사용됩니다. **AWS KMS 키를 생성하려면** **참고** **암호화 키**의 경우 AWS 기본 KMS 키를 사용하지 마세요. 자체 관리형 AD에 가입시키려는 RDS for SQL Server DB 인스턴스가 포함된 동일한 AWS 계정에 AWS KMS 키를 만들어야 합니다. 1. AWS KMS 콘솔에서 **키 생성**을 선택합니다. 1. **키 유형**에 대해 **대칭**을 선택합니다. 1. **키 사용**에서 **암호화 및 암호 해독**을 선택합니다. 1. **고급 옵션**에서 다음을 수행합니다. 1. **키 구성 요소 오리진**에서 **KMS**를 선택합니다. 1. **리전 구분**에서 **단일 리전 키**를 선택하고 **다음**을 클릭합니다. 1. **별칭**의 경우 KMS 키의 이름을 입력합니다. 1. (선택 사항) **설명**에 KMS 키에 대한 설명을 입력합니다. 1. (선택 사항) **태그**의 경우 KMS 키에 태그를 지정하고 **다음**을 클릭합니다. 1. **키 관리자**의 경우 IAM 사용자의 이름을 입력하고 선택합니다. 1. **키 삭제**의 경우 **키 관리자가 이 키를 삭제하도록 허용** 확인란을 선택한 상태로 유지하고 **다음**을 클릭합니다. 1. **키 사용자**의 경우 이전 단계와 동일한 IAM 사용자를 입력하고 해당 사용자를 선택합니다. **다음**을 클릭합니다. 1. 구성을 검토합니다. 1. **주요 정책**의 경우 정책 **문**에 다음을 포함하세요. ``` { "Sid": "Allow use of the KMS key on behalf of RDS", "Effect": "Allow", "Principal": { "Service": [ "rds.amazonaws.com" ] }, "Action": "kms:Decrypt", "Resource": "*" } ``` 1. **완료**를 클릭합니다. ## 5단계: AWS 보안 암호 생성 **보안 암호 생성** **참고** 자체 관리형 AD에 가입시키려는 RDS for SQL Server DB 인스턴스가 포함된 동일한 AWS 계정에 보안 암호를 만들어야 합니다. 1. AWS Secrets Manager에서 **새 보안 암호 저장**을 선택합니다. 1. **보안 암호 유형**에서 **다른 유형의 보안 암호**를 선택합니다. 1. **키/값 쌍**의 경우 2개의 키를 추가합니다. 1. 첫 번째 키에는 `SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME`를 입력합니다. 1. 첫 번째 키 값에는 AD 사용자의 사용자 이름(도메인 접두사 제외)만 입력합니다. 도메인 이름을 포함하면 인스턴스 생성이 실패하므로 포함하지 마세요. 1. 두 번째 키에는 `SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD`를 입력합니다. 1. 두 번째 키의 값으로 도메인의 AD 사용자에 대해 생성한 암호를 입력합니다. 1. **암호화 키**에는 이전 단계에서 생성한 KMS 키를 입력하고 **다음**을 클릭합니다. 1. **보안 암호 이름**에는 나중에 암호를 찾는 데 도움이 되는 설명이 포함된 이름을 입력합니다. 1. (선택 사항) **설명**에 보안 암호 이름에 대한 설명을 입력합니다. 1. **리소스 권한**의 경우 **편집**을 클릭합니다. 1. 권한 정책에 다음 정책을 추가합니다. **참고** *혼란스러운 대리인* 문제를 피하기 위해 정책의 `aws:sourceAccount` 및 `aws:sourceArn` 조건을 사용하는 것이 좋습니다. `aws:sourceAccount`에는 AWS 계정를 사용하고 `aws:sourceArn`에는 RDS for SQL Server DB 인스턴스를 사용합니다. 자세한 내용은 [교차 서비스 혼동된 대리자 문제 방지](cross-service-confused-deputy-prevention.md) 섹션을 참조하세요. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "rds.amazonaws.com" }, "Action": "secretsmanager:GetSecretValue", "Resource": "*", "Condition": { "StringEquals": { "aws:sourceAccount": "123456789012" }, "ArnLike": { "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*" } } } ] } ``` ------ 1. **저장**을 클릭한 후 **다음**을 클릭합니다. 1. **교체 설정 구성**에서 기본값을 유지하고 **다음**을 선택합니다. 1. 보안 암호 설정을 검토하고 **저장**을 클릭합니다. 1. 생성한 보안 암호를 선택하고 **보안 암호 ARN**의 값을 복사합니다. 이는 다음 단계에서 자체 관리형 Active Directory를 설정하는 데 사용됩니다. # DB 인스턴스를 자체 관리형 Active Directory에 조인 RDS for SQL Server DB 인스턴스를 자체 관리형 AD에 조인하려면 다음 단계를 따르세요. ## 1단계: SQL Server DB 인스턴스 생성 또는 수정 콘솔, CLI 또는 RDS API를 사용하여 RDS for SQL Server DB 인스턴스를 자체 관리형 AD 도메인에 연결할 수 있습니다. 이 작업을 다음 중 한 가지 방법으로 수행할 수 있습니다. + 콘솔, [create-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-instance.html) CLI 명령 또는 [CreateDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBInstance.html) RDS API 작업을 사용하여 새 SQL Server DB 인스턴스를 생성합니다. 지침은 [Amazon RDS DB 인스턴스 생성](USER_CreateDBInstance.md) 섹션을 참조하세요. + 콘솔, [modify-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-instance.html) CLI 명령 또는 [ModifyDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBInstance.html) RDS API 작업을 사용하여 기존 SQL Server DB 인스턴스를 수정합니다. 지침은 [Amazon RDS DB 인스턴스 수정](Overview.DBInstance.Modifying.md) 섹션을 참조하세요. + 콘솔, [restore-db-instance-from-db-snapshot](https://docs.aws.amazon.com/cli/latest/reference/rds/restore-db-instance-from-db-snapshot.html) CLI 명령 또는 [RestoreDBInstanceFromDBSnapshot](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_RestoreDBInstanceFromDBSnapshot.html) RDS API 작업을 사용하여 DB 스냅샷에서 SQL Server DB 인스턴스를 복원합니다. 지침은 [DB 인스턴스 복원](USER_RestoreFromSnapshot.md) 섹션을 참조하세요. + 콘솔, [restore-db-instance-to-point-in-time](https://docs.aws.amazon.com/cli/latest/reference/rds/restore-db-instance-to-point-in-time.html) CLI 명령 또는 [RestoreDBInstanceToPointInTime](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_RestoreDBInstanceToPointInTime.html) RDS API 작업을 사용하여 SQL Server DB 인스턴스를 특정 시점으로 복구합니다. 지침은 [Amazon RDS에서 DB 인스턴스를 지정된 시간으로 복원](USER_PIT.md) 섹션을 참조하세요. AWS CLI를 사용하는 경우 DB 인스턴스가 생성한 자체 관리형 AD 도메인을 사용하려면 다음과 같은 파라미터가 필요합니다. + `--domain-fqdn` 파라미터에는 자체 관리형 AD의 정규화된 도메인 이름(FQDN)을 사용합니다. + `--domain-ou` 파라미터에는 자체 관리형 AD에서 만든 OU를 사용합니다. + `--domain-auth-secret-arn` 파라미터에는 이전 단계에서 생성한 **보안 암호 ARN**의 값을 사용합니다. + `--domain-dns-ips` 파라미터에는 자체 관리형 AD용 DNS 서버의 프라이머리 및 보조 IPv4 주소를 사용합니다. 보조 DNS 서버 IP 주소가 없는 경우 프라이머리 IP 주소를 2번 입력합니다. 다음 예제 CLI 명령은 자체 관리형 AD 도메인이 있는 RDS for SQL Server DB 인스턴스를 생성, 수정 및 제거하는 방법을 보여줍니다. **중요** 자체 관리형 AD 도메인에 가입하거나 자체 관리형 AD 도메인에서 제거하도록 DB 인스턴스를 수정한 경우 변경 사항이 적용되려면 DB 인스턴스를 재부팅해야 합니다. 변경 사항을 즉시 적용하거나 다음 유지 관리 기간까지 기다릴 수 있습니다. **즉시 적용** 옵션을 선택하면 단일 AZ DB 인스턴스에 가동 중단이 발생합니다. 다중 AZ DB 인스턴스는 재부팅을 완료하기 전에 장애 조치를 수행합니다. 자세한 내용은 [수정 예약 설정 사용](USER_ModifyInstance.ApplyImmediately.md) 섹션을 참조하세요. 다음 CLI 명령은 새 RDS for SQL Server DB 인스턴스를 만들어 자체 관리형 AD 도메인에 가입시킵니다. 대상 LinuxmacOS, 또는Unix: ``` aws rds create-db-instance \ --db-instance-identifier my-DB-instance \ --db-instance-class db.m5.xlarge \ --allocated-storage 50 \ --engine sqlserver-se \ --engine-version 15.00.4043.16.v1 \ --license-model license-included \ --master-username my-master-username \ --master-user-password my-master-password \ --domain-fqdn my_AD_domain.my_AD.my_domain \ --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain \ --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \ --domain-dns-ips "10.11.12.13" "10.11.12.14" ``` Windows의 경우: ``` aws rds create-db-instance ^ --db-instance-identifier my-DB-instance ^ --db-instance-class db.m5.xlarge ^ --allocated-storage 50 ^ --engine sqlserver-se ^ --engine-version 15.00.4043.16.v1 ^ --license-model license-included ^ --master-username my-master-username ^ --master-user-password my-master-password ^ --domain-fqdn my-AD-test.my-AD.mydomain ^ --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain ^ --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \ ^ --domain-dns-ips "10.11.12.13" "10.11.12.14" ``` 다음 CLI 명령은 자체 관리형 AD 도메인을 사용하도록 기존 RDS for SQL Server DB 인스턴스를 수정합니다. 대상 LinuxmacOS, 또는Unix: ``` aws rds modify-db-instance \ --db-instance-identifier my-DB-instance \ --domain-fqdn my_AD_domain.my_AD.my_domain \ --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain \ --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \ --domain-dns-ips "10.11.12.13" "10.11.12.14" ``` Windows의 경우: ``` aws rds modify-db-instance ^ --db-instance-identifier my-DBinstance ^ --domain-fqdn my_AD_domain.my_AD.my_domain ^ --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain ^ --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" ^ --domain-dns-ips "10.11.12.13" "10.11.12.14" ``` 다음 CLI 명령은 자체 관리형 AD 도메인에서 RDS for SQL Server DB 인스턴스를 제거합니다. 대상 LinuxmacOS, 또는Unix: ``` aws rds modify-db-instance \ --db-instance-identifier my-DB-instance \ --disable-domain ``` Windows의 경우: ``` aws rds modify-db-instance ^ --db-instance-identifier my-DB-instance ^ --disable-domain ``` ## 2단계: Kerberos 또는 NTLM 인증 사용 ### NTLM 인증 각 Amazon RDS DB 인스턴스에는 엔드포인트가 있으며, 각 엔드포인트에는 DB 인스턴스의 DNS 이름과 포트 번호가 있습니다. SQL 클라이언트 애플리케이션을 사용해 DB 인스턴스에 연결하려면 DB 인스턴스에 연결할 수 있는 DNS 이름과 포트 번호가 필요합니다. NTLM 인증을 사용하여 인증하려면 다중 AZ 배포를 사용하는 경우 RDS 엔드포인트 또는 리스너 엔드포인트에 연결해야 합니다. 계획된 데이터베이스 유지 관리 또는 예기치 않은 서비스 중단이 발생할 경우 Amazon RDS가 최신 보조 데이터베이스로 자동으로 장애 조치를 수행하므로 수동 개입 없이 작업을 빠르게 재개할 수 있습니다. 기본 인스턴스 및 보조 인스턴스는 동일한 엔드포인트를 사용합니다. 이 엔드포인트의 물리적 네트워크 주소는 장애 조치 프로세스의 일환으로 보조로 전환됩니다. 장애 조치가 발생하는 경우 애플리케이션을 다시 구성할 필요가 없습니다. ### Kerberos 인증 RDS for SQL Server에 대한 Kerberos 기반 인증을 수행하려면 특정 서비스 위탁자 이름(SPN)에 연결해야 합니다. 그러나 장애 조치 이벤트 후 애플리케이션이 새 SPN을 인식하지 못할 수 있습니다. 이를 해결하기 위해 RDS for SQL Server는 Kerberos 기반 엔드포인트를 제공합니다. Kerberos 기반 엔드포인트는 특정 형식을 따릅니다. RDS 엔드포인트가 `rds-instance-name.account-region-hash.aws-region.rds.amazonaws.com`인 경우 해당 Kerberos 기반 엔드포인트는 `rds-instance-name.account-region-hash.aws-region.awsrds.fully qualified domain name (FQDN)`입니다. 예를 들어 RDS 엔드포인트가 `ad-test.cocv6zwtircu.us-east-1.rds.amazonaws.com`이고 도메인 이름이 `corp-ad.company.com`인 경우 Kerberos 기반 엔드포인트는 `ad-test.cocv6zwtircu.us-east-1.awsrds.corp-ad.company.com`입니다. 이 Kerberos 기반 엔드포인트는 기본 SQL Server 인스턴스의 새 SPN을 가리키도록 엔드포인트가 자동으로 업데이트되므로 장애 조치 이벤트 후에도 Kerberos를 사용하여 SQL Server 인스턴스로 인증하는 데 사용할 수 있습니다. ### CNAME 찾기 CNAME를 찾으려면 도메인 컨트롤러에 연결하고 **DNS Manager**를 엽니다. **정방향 조회 영역** 및 FQDN으로 이동합니다. **awsrds**, **aws-region**, **계정 및 리전별 해시**를 탐색합니다. ![\[DB 인스턴스의 스토리지 크기 수정\]](http://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/images/kerb-endpoint-selfManagedAD-RDSMS.png) 원격 클라이언트에서 CNAME를 연결한 후 NTLM 연결이 반환되면 필요한 포트가 허용 목록에 있는지 확인합니다. 연결에서 Kerberos를 사용 중인지 확인하려면 다음 쿼리를 실행합니다. ``` SELECT net_transport, auth_scheme FROM sys.dm_exec_connections WHERE session_id = @@SSPID; ``` Kerberos 엔드포인트에 연결할 때 인스턴스가 NTLM 연결을 반환하는 경우 네트워크 구성 및 사용자 구성을 확인합니다. [네트워크 연결 구성](USER_SQLServer_SelfManagedActiveDirectory.Requirements.md#USER_SQLServer_SelfManagedActiveDirectory.Requirements.NetworkConfig)을(를) 참조하세요. ## 3단계: Windows 인증 SQL Server 로그인 생성 다른 DB 인스턴스의 경우와 같은 방법으로 Amazon RDS 마스터 사용자 보안 인증 정보를 사용하여 SQL Server DB 인스턴스에 연결합니다. DB 인스턴스는 자체 관리형 AD 도메인에 가입되므로 SQL Server 로그인 및 사용자를 프로비저닝할 수 있습니다. 이 작업은 자체 관리형 AD 도메인의 AD 사용자 및 그룹 유틸리티에서 수행합니다. 데이터베이스 권한은 이러한 Windows 로그인에 부여되거나 취소되는 표준 SQL Server 권한을 통해 관리됩니다. 자체 관리형 AD 도메인 서비스 계정이 SQL 서버를 사용하여 인증하려면 자체 관리형 AD 도메인 서비스 계정 또는 사용자가 구성원인 자체 관리형 AD 그룹에 대한 SQL Server Windows 로그인이 있어야 합니다. 세분화된 액세스 제어는 이러한 SQL Server 로그인에 대한 권한을 부여하거나 취소하여 처리합니다. SQL Server 로그인이 없거나 이러한 로그인이 있는 자체 관리형 AD 그룹에 속하지 않은 자체 관리형 AD 도메인 서비스 계정은 SQL Server DB 인스턴스에 액세스할 수 없습니다. 자체 관리형 AD SQL Server 로그인을 생성하려면 ALTER ANY LOGIN 권한이 필요합니다. 이 권한으로 로그인을 생성하지 않은 경우 SQL Server 인증을 사용하여 DB 인스턴스의 마스터 사용자로 연결하고 마스터 사용자의 맥락에서 자체 관리형 AD SQL Server 로그인을 생성합니다. 다음과 같은 데이터 정의 언어(DDL) 명령을 실행하여 자체 관리형 AD 도메인 서비스 계정 또는 그룹에 대한 SQL Server 로그인을 생성할 수 있습니다. **참고** Windows 2000 이전 로그인 이름을 사용하여 사용자 및 그룹을 `my_AD_domain\my_AD_domain_user` 형식으로 지정합니다. UPN(User Principle Name)을 *`my_AD_domain_user`*`@`*`my_AD_domain`* 형식으로 사용할 수 없습니다. ``` USE [master] GO CREATE LOGIN [my_AD_domain\my_AD_domain_user] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english]; GO ``` 자세한 내용은 Microsoft Developer Network 설명서에서 [CREATE LOGIN(Transact-SQL)](https://msdn.microsoft.com/en-us/library/ms189751.aspx)을 참조하세요. 도메인의 사용자(사람 및 애플리케이션)는 이제 Windows 인증을 사용하여 자체 관리형 AD 도메인이 연결된 클라이언트 컴퓨터의 RDS for SQL Server 인스턴스에 연결할 수 있습니다. # 자체 관리형 Active Directory 도메인에서 DB 인스턴스 관리 콘솔, AWS CLI 또는 Amazon RDS API를 사용하여 DB 인스턴스 및 DB 인스턴스와 자체 관리형 AD 도메인과의 관계를 관리할 수 있습니다. 예를 들어, DB 인스턴스를 도메인 내로, 도메인 외부로 또는 도메인 간에 이동할 수 있습니다. 예를 들어 Amazon RDS API를 사용하여 다음을 수행할 수 있습니다. + 실패한 멤버십에 대해 자체 관리형 도메인 가입을 다시 시도하려면 [ModifyDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBInstance.html) API 작업을 사용하고 동일한 파라미터 세트를 지정하세요. + `--domain-fqdn` + `--domain-dns-ips` + `--domain-ou` + `--domain-auth-secret-arn` + 자체 관리형 도메인에서 DB 인스턴스를 제거하려면 `ModifyDBInstance` API 작업을 사용하고 `--disable-domain`을 도메인 파라미터로 지정합니다. + DB 인스턴스를 한 자체 관리형 도메인에서 다른 도메인으로 이동하려면 `ModifyDBInstance` API 작업을 사용하고 새 도메인에 대한 도메인 파라미터를 지정합니다. + `--domain-fqdn` + `--domain-dns-ips` + `--domain-ou` + `--domain-auth-secret-arn` + 각 DB 인스턴스에 대한 자체 관리형 AD 도메인 멤버십을 나열하려면 [DescribeDBInstances](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/DescribeDBInstances.html) API 작업을 사용합니다. ## 자체 관리형 Active Directory 도메인 멤버십에 대한 이해 AD 세부 정보를 지정하여 DB 인스턴스를 생성하거나 수정한 경우 해당 인스턴스는 자체 관리형 AD 도메인의 구성원이 됩니다. AWS 콘솔은 DB 인스턴스에 대한 자체 관리형 Active Directory 도메인 멤버십의 상태를 나타냅니다. DB 인스턴스의 상태는 다음 중 한 가지가 될 수 있습니다. + **joined** – 인스턴스가 AD 도메인의 구성원입니다. + **joining** – 인스턴스가 AD 도메인 구성원이 되기 위한 과정을 진행하고 있습니다. + **pending-join** – 인스턴스 멤버십이 보류 중입니다. + **pending-maintenance-join** - AWS에서 다음 예약된 유지 관리 기간 동안 인스턴스를 AD 도메인의 구성원으로 만들려고 시도합니다. + **pending-removal** – AD 도메인에서 인스턴스 제거 작업이 보류 중입니다. + **pending-maintenance-removal** - AWS에서 다음 예약된 유지 관리 기간 동안 AD 도메인에서 인스턴스를 제거하려고 시도합니다. + **failed** – 구성 문제가 발생하여 인스턴스가 AD 도메인에 가입되지 않았습니다. 인스턴스 수정 명령을 다시 실행하기 전에 구성을 확인하고 수정합니다. + **removing** – 인스턴스를 자체 관리형 AD 도메인에서 제거하고 있습니다. **중요** 네트워크 연결 문제로 인해 자체 관리형 AD 도메인 구성원 되기 요청이 실패할 수 있습니다. 예를 들어 DB 인스턴스를 생성하거나 기존 인스턴스를 수정하여 DB 인스턴스가 자체 관리형 AD 도메인의 구성원이 되려는 시도를 못하게 할 수 있습니다. 이 경우 명령을 다시 실행하여 DB 인스턴스를 생성 또는 수정하거나 새로 생성된 인스턴스를 수정하여 자체 관리형 AD 도메인에 가입할 수 있습니다. # 자체 관리형 Active Directory 문제 해결 다음은 자체 관리형 AD를 설정하거나 수정할 때 발생할 수 있는 문제입니다. **** | 오류 코드 | 설명 | 일반적인 원인 | 문제 해결 제안 | | --- | --- | --- | --- | | 오류 2/0x2 | 시스템이 지정된 파일을 찾을 수 없습니다. | `—domain-ou` 파라미터로 지정된 조직 단위(OU)의 형식 또는 위치가 잘못되었습니다. AWS Secrets Manager를 통해 지정된 도메인 서비스 계정에는 OU에 가입하는 데 필요한 권한이 없습니다. | `—domain-ou` 파라미터를 검토합니다. 도메인 서비스 계정에 OU에 대한 올바른 권한이 있는지 확인합니다. 자세한 내용은 [AD 도메인 서비스 계정 구성](USER_SQLServer_SelfManagedActiveDirectory.Requirements.md#USER_SQLServer_SelfManagedActiveDirectory.Requirements.DomainAccountConfig) 섹션을 참조하세요. | | 오류 5/0x5 | 액세스가 거부되었습니다. | 도메인 서비스 계정에 대한 권한이 잘못 구성되었거나 컴퓨터 계정이 이미 도메인에 있습니다. | 도메인의 도메인 서비스 계정 권한을 검토하고 RDS 컴퓨터 계정이 도메인에 중복되지 않았는지 확인합니다. RDS for SQL Server DB 인스턴스에서 `SELECT @@SERVERNAME`을 실행하여 RDS 컴퓨터 계정의 이름을 확인할 수 있습니다. 다중 AZ를 사용하는 경우 장애 조치를 사용하여 재부팅한 다음 RDS 컴퓨터 계정을 다시 확인합니다. 자세한 내용은 [ DB 인스턴스 재부팅](USER_RebootInstance.md) 섹션을 참조하세요. | | 오류 87/0x57 | 파라미터가 올바르지 않습니다. | AWS Secrets Manager를 통해 지정된 도메인 서비스 계정에 올바른 권한이 없습니다. 사용자 프로필도 손상되었을 수 있습니다. | 도메인 서비스 계정의 요구 사항을 검토합니다. 자세한 내용은 [AD 도메인 서비스 계정 구성](USER_SQLServer_SelfManagedActiveDirectory.Requirements.md#USER_SQLServer_SelfManagedActiveDirectory.Requirements.DomainAccountConfig) 섹션을 참조하세요. | | 오류 234/0xEA | 지정된 조직 단위(OU)가 없습니다. | `—domain-ou` 파라미터로 지정된 OU가 자체 관리형 AD에 존재하지 않습니다. | `—domain-ou` 파라미터를 검토하고 지정된 OU가 자체 관리형 AD에 있는지 확인합니다. | | 오류 1326/0x52E | 사용자 이름 또는 암호가 잘못되었습니다. | AWS Secrets Manager에 제공된 도메인 서비스 계정 보안 인증 정보에 알 수 없는 사용자 이름이나 잘못된 암호가 있습니다. 자체 관리형 AD에서 도메인 계정을 사용하지 않도록 설정할 수도 있습니다. | AWS Secrets Manager에 제공된 자격 증명이 올바르고 자체 관리형 AD에서 도메인 계정이 활성화되어 있는지 확인합니다. | | 오류 1355/0x54B | 지정된 도메인이 존재하지 않거나 해당 주소를 찾을 수 없습니다. | 도메인이 중지되었거나, 지정된 DNS IP 집합에 연결할 수 없거나, 지정된 FQDN에 연결할 수 없습니다. | `—domain-dns-ips` 및 `—domain-fqdn` 파라미터를 검토하여 올바른지 확인합니다. RDS for SQL Server DB 인스턴스의 네트워킹 구성을 검토하고 자체 관리형 AD에 연결할 수 있는지 확인합니다. 자세한 내용은 [네트워크 연결 구성](USER_SQLServer_SelfManagedActiveDirectory.Requirements.md#USER_SQLServer_SelfManagedActiveDirectory.Requirements.NetworkConfig) 섹션을 참조하세요. | | 오류 1722/0x6BA | RPC 서버를 사용할 수 없습니다. | AD 도메인의 RPC 서비스에 연결하는 중 문제가 발생했습니다. 서비스 또는 네트워크 문제일 수 있습니다. | RPC 서비스가 도메인 컨트롤러에서 실행되고 있고 TCP 포트 `135` 및 `49152-65535`에서 RDS for SQL Server DB 인스턴스의 도메인에 연결할 수 있는지 확인합니다. | | 오류 1727/0x6BF | 원격 프로시저 직접 호출이 실패했으며 실행되지 않았습니다. | 도메인 컨트롤러와의 RPC 통신을 차단하는 네트워크 연결 문제 또는 방화벽 제한. | 교차 VPC 도메인 조인을 사용하는 경우 VPC 피어링 또는 전송 게이트웨이를 사용하여 교차 VPC 통신이 올바르게 설정되었는지 확인합니다. 가능한 방화벽 제한을 포함하여 RDS for SQL Server DB 인스턴스에서 도메인의 TCP 하이 포트 `49152-65535`에 연결할 수 있는지 확인합니다. | | 오류 2224/0x8B0 | 계정이 이미 있습니다. | 자체 관리형 AD에 추가하려는 컴퓨터 계정이 이미 있습니다. | RDS for SQL Server DB 인스턴스에서 `SELECT @@SERVERNAME`을 실행하여 컴퓨터 계정을 식별한 다음 자체 관리형 AD에서 해당 계정을 신중히 제거합니다. | | 오류 2242/0x8c2 | 이 사용자의 암호가 만료되었습니다. | AWS Secrets Manager를 통해 지정한 도메인 서비스 계정의 암호가 만료되었습니다. | RDS for SQL Server DB 인스턴스를 자체 관리형 AD에 가입시키는 데 사용되는 도메인 서비스 계정의 암호를 업데이트합니다. | DB 인스턴스를 자체 관리형 Active Directory 도메인에 조인한 후 도메인 상태와 관련된 RDS 이벤트를 수신할 수 있습니다. ``` Unhealthy domain state detected while attempt to verify or configure your Kerberos endpoint in your domain on node node_n. message ``` 다중 AZ 인스턴스의 경우 node1과 node2 모두에 대한 오류 보고가 표시될 수 있습니다. 이는 인스턴스의 Kerberos 구성이 장애 조치를 받을 준비가 되지 않았음을 나타냅니다. 장애 조치 시 Kerberos를 사용하는 데 인증 문제가 발생할 수 있습니다. 구성 문제를 해결하여 Kerberos 설정이 유효하고 최신 상태인지 확인합니다. 다중 AZ 인스턴스의 경우 모든 네트워크 및 권한 구성이 마련되어 있으므로 새 기본 호스트에서 Kerberos 인증을 사용하는 데 필요한 작업이 없습니다. 단일 AZ 인스턴스의 경우 node1이 프라이머리 노드입니다. Kerberos 인증이 예상대로 작동하지 않는 경우 인스턴스 이벤트를 확인하고 구성 문제를 해결하여 Kerberos 설정이 유효하고 최신 상태인지 확인합니다. ## SQL Server DB 인스턴스를 복원한 후 자체 관리형 Active Directory 도메인에 추가 DB 스냅샷을 복원하거나 SQL Server DB 인스턴스에 대한 특정 시점 복구(PITR)를 수행한 후 자체 관리형 Active Directory 도메인에 추가할 수 있습니다. DB 인스턴스가 복원된 후 [1단계: SQL Server DB 인스턴스 생성 또는 수정](USER_SQLServer_SelfManagedActiveDirectory.Joining.md#USER_SQLServer_SelfManagedActiveDirectory.SettingUp.CreateModify)에 설명된 프로세스를 사용하여 DB 인스턴스를 자체 관리형 AD 도메인에 추가하도록 인스턴스를 수정합니다. # RDS for SQL Server를 사용하여 AWS 관리형 Active Directory 작업 사용자가 RDS for SQL Server DB 인스턴스에 연결할 때 AWS Managed Microsoft AD를 통해 Windows 인증으로 사용자를 인증할 수 있습니다. DB 인스턴스는 AWS Directory Service for Microsoft Active Directory라고도 하는 AWS Managed Microsoft AD과 함께 작동하여 Windows 인증을 활성화합니다. 사용자가 신뢰할 수 있는 도메인에 가입된 SQL Server DB 인스턴스를 사용하여 인증할 경우 Directory Service를 사용하여 만든 도메인 디렉터리에 인증 요청이 전달됩니다. ## 리전 및 버전 사용 가능 여부 Amazon RDS는 AWS Managed Microsoft AD를 Windows 인증에만 사용할 수 있도록 지원합니다. RDS는 AD Connector 사용을 지원하지 않습니다. 자세한 내용은 다음 자료를 참조하세요. + [의 애플리케이션 호환성 정책AWS Managed Microsoft AD](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_app_compatibility.html) + [AD Connector의 애플리케이션 호환성 정책](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ad_connector_app_compatibility.html) 버전 및 리전 가용성에 관한 자세한 내용은 [Kerberos 인증을 사용하는 RDS for SQL Server](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/Concepts.RDS_Fea_Regions_DB-eng.Feature.KerberosAuthentication.html#Concepts.RDS_Fea_Regions_DB-eng.Feature.KerberosAuthentication.sq)를 참조하세요. ## Windows 인증 설정 개요 Amazon RDS는 Windows 인증에 혼합 모드를 사용합니다. 이 접근 방식에서 *마스터 사용자*(SQL Server DB 인터페이스를 생성하는 데 사용된 이름과 암호)는 SQL 인증을 사용합니다. 마스터 사용자 계정은 권한 있는 자격 증명이므로 이 계정에 대한 액세스를 제한해야 합니다. 온프레미스 또는 자체 호스팅된 Microsoft Active Directory를 사용하여 Windows 인증을 얻으려면 포리스트 신뢰를 생성합니다. 단방향 또는 양방향 트러스트가 가능합니다. Directory Service를 사용하여 포리스트 신뢰를 설정하는 방법에 대한 자세한 내용은 *AWS Directory Service 관리 안내서*의 [신뢰 관계를 생성해야 하는 경우](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_setup_trust.html)를 참조하십시오. SQL Server DB 인스턴스에 대한 Windows 인증을 설정하려면 [SQL Server DB 인스턴스에 대한 Windows 인증 설정](USER_SQLServerWinAuth.SettingUp.md)에 자세히 설명된 다음 단계를 수행합니다. 1. AWS Managed Microsoft AD 또는 AWS Management Console API에서 Directory Service를 사용하여 AWS Managed Microsoft AD 디렉터리를 생성합니다. 1. AWS CLI 또는 Amazon RDS API를 사용하여 SQL Server DB 인스턴스를 생성하는 경우 AWS Identity and Access Management(IAM) 역할을 생성합니다. 이 역할은 관리형 IAM 정책 `AmazonRDSDirectoryServiceAccess`를 사용하며 이 역할을 통해 Amazon RDS에서 디렉터리를 호출할 수 있습니다. 콘솔을 사용하여 SQL Server DB 인스턴스를 생성하는 경우 AWS에서 IAM 역할을 자동으로 생성합니다. 역할이 액세스를 허용하려면 AWS Security Token Service 리전에서 AWS STS 계정의 AWS(AWS) 엔드포인트를 활성화해야 합니다. AWS STS 엔드포인트는 기본적으로 모든 AWS 리전에서 활성화되어 있으므로 더 이상의 조치 없이 사용할 수 있습니다. 자세한 내용은 *IAM 사용 설명서*의 [AWS 리전에서 AWS STS 관리](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_enable-regions.html)를 참조하세요. 1. Microsoft Active Directory 도구를 사용하여 AWS Managed Microsoft AD 디렉터리에서 사용자 및 그룹을 만들고 구성합니다. Active Directory에서 사용자 및 그룹을 생성하는 방법에 대한 자세한 내용은 *AWS Directory Service 관리 안내서*의 에서 [AWS Managed Microsoft AD에서 사용자 및 그룹 관리](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_manage_users_groups.html)를 참조하세요. 1. 디렉터리와 DB 인스턴스를 다른 VPC에 배치하려면 VPC 간 트래픽을 활성화하십시오. 1. Amazon RDS를 사용하여 콘솔, AWS CLI 또는 Amazon RDS API에서 새 SQL Server DB 인스턴스를 생성합니다. 생성 요청에서 디렉터리를 만들 때 생성된 도메인 식별자("`d-*`" 식별자)와 생성된 역할의 이름을 제공합니다. DB 인스턴스에 대한 도메인 및 IAM 역할 파라미터를 설정하여 Windows 인증을 사용하도록 기존 SQL Server DB 인스턴스를 수정할 수도 있습니다. 1. 다른 DB 인스턴스의 경우와 같은 방법으로 Amazon RDS 마스터 사용자 자격 증명을 사용하여 SQL Server DB 인스턴스에 연결합니다. DB 인스턴스는 AWS Managed Microsoft AD 도메인에 조인되므로 도메인에 있는 Active Directory 사용자 및 그룹의 SQL Server 로그인과 사용자를 프로비저닝할 수 있습니다. (이를 SQL Server "Windows" 로그인이라고 합니다.) 데이터베이스 권한은 이러한 Windows 로그인에 부여되거나 취소되는 표준 SQL Server 권한을 통해 관리됩니다. Amazon RDS 콘솔을 사용하여 도메인 연결 RDS for SQL Server DB 인스턴스를 생성하면 AWS가 `rds-directoryservice-access-role` IAM 역할을 자동으로 생성합니다. 이 역할은 도메인 연결 인스턴스를 관리하는 데 필수적이며 다음 작업에 필요합니다. + 도메인 연결 SQL Server 인스턴스에 대한 구성 변경 + Active Directory 통합 설정 관리 + 도메인 조인 인스턴스에 대한 유지 관리 작업 수행 **중요** `rds-directoryservice-access-role` IAM 역할을 삭제하면 Amazon RDS 콘솔 또는 API를 통해 도메인 연결 SQL Server 인스턴스를 변경할 수 없습니다. 이 인스턴스를 수정하려고 하면 iam:CreateRole에 대한 권한이 없다는 오류 메시지가 표시됩니다. 액세스를 요청하려면 다음 텍스트를 복사하여 AWS 관리자에게 전송합니다. 이 오류는 Amazon RDS가 도메인 연결을 관리하기 위해 역할을 다시 생성해야 하지만 필요한 권한이 없기 때문에 발생합니다. 또한 이 오류는 CloudTrail에 로깅되지 않으므로 문제 해결이 더 어려울 수 있습니다. 실수로 `rds-directoryservice-access-role`을 삭제한 경우 다시 생성할 수 있는 `iam:CreateRole` 권한이 있어야 도메인 연결 SQL Server 인스턴스를 변경할 수 있습니다. 역할을 수동으로 다시 생성하려면 `AmazonRDSDirectoryServiceAccess` 관리형 정책이 연결되어 있고 RDS 서비스가 해당 역할을 수임하도록 허용하는 적절한 신뢰 관계가 있는지 확인합니다. # Kerberos 인증에 대한 엔드포인트 만들기 Kerberos 기반 인증을 사용하려면 엔드포인트가 고객이 지정한 호스트 이름과 마침표(.) 및 정규화된 도메인 이름(FQDN) 순으로 구성되어야 합니다. 예를 들어, 다음은 Kerberos 기반 인증과 함께 사용할 수 있는 엔드포인트의 예입니다. 이 예에서 SQL Server DB 인스턴스 호스트 이름은 `ad-test`이고 도메인 이름은 `corp-ad.company.com`입니다. ``` ad-test.corp-ad.company.com ``` 현재 연결에서 Kerberos를 사용 중인지 확인하려면 다음 쿼리를 실행합니다. ``` 1. SELECT net_transport, auth_scheme 2. FROM sys.dm_exec_connections 3. WHERE session_id = @@SPID; ``` # SQL Server DB 인스턴스에 대한 Windows 인증 설정 AWS Directory Service for Microsoft Active Directory라고도 하는 AWS Managed Microsoft AD를 사용하여 SQL Server DB 인스턴스의 Windows 인증을 설정합니다. Windows 인증을 설정하려면 다음 단계를 수행합니다. ## 1단계: AWS Directory Service for Microsoft Active Directory를 사용하여 디렉터리 만들기 Directory Service는 AWS 클라우드에 완전관리형 Microsoft Active Directory를 만듭니다. AWS Managed Microsoft AD 디렉터리를 생성할 때 Directory Service에서 두 개의 도메인 컨트롤러 및 Domain Name System(DNS) 서버가 자동으로 생성됩니다. 디렉터리 서버는 VPC 내 가용 영역 두 곳에 있는 두 개의 서브넷에서 생성됩니다. 이러한 중복은 장애가 발생해도 디렉터리에 액세스할 수 있도록 보장하는 데 도움이 됩니다. AWS Managed Microsoft AD 디렉터리를 생성하는 경우 Directory Service에서 다음 작업이 자동으로 수행됩니다. + VPC 내에서 Microsoft Active Directory를 설정합니다. + 사용자 이름 Admin과 지정된 암호를 사용하여 디렉터리 관리자 계정을 생성합니다. 이 계정을 사용하여 디렉터리를 관리할 수 있습니다. + 디렉터리 컨트롤러에 대한 보안 그룹을 만듭니다. AWS Directory Service for Microsoft Active Directory를 시작하면 AWS에서 모든 디렉터리의 객체를 포함하는 OU(조직 단위)를 생성합니다. 디렉터리를 만들 때 입력한 NetBIOS 이름을 가진 이 OU는 도메인 루트에 있습니다. 도메인 루트는 AWS에서 소유하고 관리합니다. AWS Managed Microsoft AD 디렉터리를 사용하여 만든 *admin* 계정은 OU의 가장 일반적인 관리 활동에 대한 권한을 갖습니다. + 사용자, 그룹 및 컴퓨터를 생성, 업데이트 또는 삭제합니다. + 도메인(예: 파일 또는 인쇄 서버)에 리소스를 추가한 다음 OU 내의 사용자 및 그룹에 해당 리소스에 대한 권한 할당. + 추가 OU 및 컨테이너 생성. + 권한 위임. + 그룹 정책 생성 및 연결. + Active Directory 휴지통에서 삭제된 객체 복원. + Active Directory 웹 서비스에서 AD 및 DNS Windows PowerShell 모듈 실행. 또한 admin 계정은 다음 도메인 차원 활동을 수행할 권한이 있습니다. + DNS 구성 관리(레코드, 영역 및 전달자 추가, 제거 또는 업데이트) + DNS 이벤트 로그 보기 + 보안 이벤트 로그 보기 **AWS Managed Microsoft AD으로 디렉터리를 생성하려면** 1. [Directory Service 콘솔](https://console.aws.amazon.com/directoryservicev2/) 탐색 창에서 **디렉터리**를 선택한 후 **디렉터리 설정**을 선택합니다. 1. 를 선택합니다.**AWS Managed Microsoft AD**. 이것은 현재 Amazon RDS에서 사용하도록 지원되는 유일한 옵션입니다. 1. **다음**을 선택합니다. 1. **디렉터리 정보 입력** 페이지에서 다음 정보를 제공합니다. **Edition** 요구 사항에 맞는 에디션을 선택합니다. **디렉터리 DNS 이름** 디렉터리를 위한 정규화된 이름(예: `corp.example.com`)입니다. 47자를 초과하는 이름은 SQL Server에서 지원되지 않습니다. **디렉터리 NetBIOS 이름** 디렉터리의 선택적 짧은 이름(예: `CORP`)입니다. **디렉터리 설명** 디렉터리에 대한 선택적 설명을 입력합니다. **관리자 암호** 디렉터리 관리자의 암호입니다. 디렉터리 생성 프로세스에서는 사용자 이름 Admin과 이 암호를 사용하여 관리자 계정을 생성합니다. 디렉터리 관리자 암호는 `admin`이라는 단어를 포함할 수 없습니다. 암호는 대소문자를 구분하며 길이가 8\$164자 사이여야 합니다. 또한 다음 네 범주 중 세 개에 해당하는 문자를 1자 이상 포함해야 합니다. + 소문자(a-z) + 대문자(A-Z) + 숫자(0-9) + 영숫자 외의 특수 문자(\$1\$1@\$1\$1%^&\$1\$1-\$1=`\$1\$1()\$1\$1[]:;"'<>,.?/) **[Confirm Password]** 관리자 암호를 다시 입력합니다. 1. [**Next**]를 선택합니다. 1. **Choose VPC and subnets(VPC 및 서브넷 선택)** 페이지에 다음 정보를 입력합니다. **VPC** 디렉터리에 대한 VPC를 선택합니다. 디렉터리와 DB 인스턴스를 서로 다른 VPC에서 찾을 수 있지만, 그렇게 할 경우 교차 VPC 트래픽을 활성화해야 합니다. 자세한 내용은 [4단계: 디렉터리와 DB 인스턴스 사이에 VPC 간 트래픽 활성화](#USER_SQLServerWinAuth.SettingUp.VPC-Peering) 섹션을 참조하세요. **서브넷** 디렉터리 서버에 대한 서브넷을 선택합니다. 두 서브넷이 서로 다른 가용 영역에 있어야 합니다. 1. **Next**(다음)를 선택합니다. 1. 디렉터리 정보를 검토합니다. 변경이 필요하면 **이전**을 선택합니다. 정보가 올바르면 **Create directory(디렉터리 생성)**을 선택합니다. ![\[페이지 검토 및 생성\]](http://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/images/WinAuth2.png) 디렉터리를 생성하는 데 몇 분 정도 걸립니다. 디렉터리가 성공적으로 생성되면 **상태** 값이 **활성**으로 변경됩니다. 디렉터리에 대한 정보를 보려면 디렉터리 목록에서 해당 디렉터리 ID를 선택합니다. **디렉터리 ID**를 적어 두십시오. SQL Server DB 인스턴스를 생성하거나 수정할 때 이 값이 필요합니다. ![\[디렉터리 세부 정보 페이지\]](http://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/images/WinAuth3.png) ## 2단계: Amazon RDS에 사용할 IAM 역할 생성 콘솔을 사용하여 SQL Server DB 인스턴스를 생성하는 경우 이 단계를 건너뛸 수 있습니다. CLI 또는 RDS API를 사용하여 SQL Server DB 인스턴스를 생성하는 경우 `AmazonRDSDirectoryServiceAccess` 관리형 IAM 정책을 사용하는 IAM 역할을 생성해야 합니다. 이 역할을 사용하여 Amazon RDS에서 Directory Service를 자동으로 호출할 수 있습니다. AWS 관리형 `AmazonRDSDirectoryServiceAccess` 정책을 사용하는 대신 도메인 가입에 사용자 지정 정책을 사용하는 경우 `ds:GetAuthorizedApplicationDetails` 작업을 허용해야 합니다. 이 요구 사항은 Directory Service API 변경으로 인해 2019년 7월부터 유효합니다. 다음 IAM 정책 `AmazonRDSDirectoryServiceAccess`는 Directory Service에 대한 액세스를 제공합니다. **Example Directory Service에 대한 액세스 제공을 위한 IAM 정책** **** ``` { "Version":"2012-10-17", "Statement": [ { "Action": [ "ds:DescribeDirectories", "ds:AuthorizeApplication", "ds:UnauthorizeApplication", "ds:GetAuthorizedApplicationDetails" ], "Effect": "Allow", "Resource": "*" } ] } ``` 서비스 권한을 특정 리소스로 제한하는 리소스 기반 신뢰 관계의 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn) 및 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount) 전역 조건 컨텍스트 키를 사용하는 것이 좋습니다. 이는 [혼동된 대리자 문제](https://docs.aws.amazon.com/IAM/latest/UserGuide/confused-deputy.html)를 방지하는 가장 효과적인 방법입니다. 전역 조건 컨텍스트 키를 모두 사용하고 `aws:SourceArn` 값에 계정 ID가 포함되도록 할 수 있습니다. 이 경우 `aws:SourceAccount` 값과 `aws:SourceArn` 값의 계정이 동일한 문에서 사용될 때 동일한 계정 ID를 사용해야 합니다. + 단일 리소스에 대한 교차 서비스 액세스를 원하는 경우 `aws:SourceArn`을 사용하세요. + 해당 계정의 모든 리소스가 교차 서비스 사용과 연결되도록 허용하려는 경우 `aws:SourceAccount`를 사용하세요. 신뢰 정책에서는 역할에 액세스하는 리소스의 전체 Amazon 리소스 이름(ARN)이 포함된 `aws:SourceArn` 전역 조건 컨텍스트 키를 사용해야 합니다. Windows 인증의 경우 다음 예와 같이 DB 인스턴스를 포함해야 합니다. **Example Windows 인증을 위한 전역 조건 컨텍스트 키와의 신뢰 관계** **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "rds.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceArn": [ "arn:aws:rds:Region:my_account_ID:db:db_instance_identifier" ] } } } ] } ``` 이 IAM 정책 및 신뢰 관계를 사용하여 IAM 역할을 생성합니다. IAM 역할 생성에 대한 자세한 내용은 *IAM 사용 설명서*의 [고객 관리형 정책 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-using.html#create-managed-policy-console)을 참조하세요. ## 3단계: 사용자 및 그룹 생성 및 구성 Active Directory 사용자 및 컴퓨터 도구를 사용하여 사용자 및 그룹을 생성할 수 있습니다. 이 도구는 Active Directory 도메인 서비스 및 Active Directory Lightweight Directory Services 도구 중 하나입니다. 사용자는 디렉터리에 액세스할 수 있는 개별 사용자 또는 개체를 나타냅니다. 그룹은 개별 사용자에게 권한을 적용할 필요 없이 사용자 그룹에 권한을 부여하거나 거부하는 데 매우 유용합니다. Directory Service 디렉터리에 사용자 및 그룹을 생성하려면 Directory Service 디렉터리의 멤버인 Windows EC2 인스턴스에 연결해야 합니다. 또한 사용자 및 그룹을 생성할 수 있는 권한을 가진 사용자로 로그인해야 합니다. 자세한 내용은 *AWS Directory Service관리 안내서*에서 [사용자 및 그룹 추가(Simple AD 및 AWS Managed Microsoft AD)](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/creating_ad_users_and_groups.html)를 참조하세요. ## 4단계: 디렉터리와 DB 인스턴스 사이에 VPC 간 트래픽 활성화 디렉터리와 DB 인스턴스를 동일한 VPC에 배치하려면 이 단계를 건너뛰고 [5단계: SQL Server DB 인스턴스 생성 또는 수정](#USER_SQLServerWinAuth.SettingUp.CreateModify) 섹션으로 이동하세요. 디렉터리와 DB 인스턴스를 서로 다른 VPC에 배치하려면 VPC 피어링 또는 [AWS Transit Gateway](https://docs.aws.amazon.com/vpc/latest/tgw/what-is-transit-gateway.html)를 사용하여 VPC 간 트래픽을 구성하세요. 다음 절차는 VPC 피어링을 사용하여 VPC 간 트래픽을 활성화합니다. *Amazon Virtual Private Cloud 피어링 안내서*의 [VPC 피어링이란?](https://docs.aws.amazon.com/vpc/latest/peering/Welcome.html) 지침을 따르십시오. **VPC 피어링을 사용하여 VPC 간 트래픽을 활성화하려면** 1. 네트워크 트래픽이 양방향으로 흐를 수 있도록 적절한 VPC 라우팅 규칙을 설정합니다. 1. DB 인스턴스의 보안 그룹이 디렉터리의 보안 그룹에서 인바운드 트래픽을 수신할 수 있는지 확인합니다. 1. 트래픽을 차단하는 네트워크 ACL(액세스 제어 목록) 규칙이 없어야 합니다. 다른 AWS 계정이 디렉터리를 소유하는 경우 디렉터리를 공유해야 합니다. **AWS 계정 간에 디렉터리를 공유하려면** 1. *AWS 관리 안내서*의 [자습서: 원활한 EC2 도메인 조인을 위해 AWS Managed Microsoft AD 디렉터리 공유](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_tutorial_directory_sharing.html)에 있는 지침에 따라 DB 인스턴스가 생성될 Directory Service 계정과 디렉터리를 공유하는 작업을 시작합니다. 1. DB 인스턴스용 계정을 사용하여 Directory Service 콘솔에 로그인하고 계속하기 전에 도메인이 `SHARED` 상태가 되었는지 확인합니다. 1. DB 인스턴스용 계정을 사용하여 Directory Service 콘솔에 로그인하는 동안 **디렉터리 ID** 값을 기록해 둡니다. 이 디렉터리 ID를 사용하여 DB 인스턴스를 도메인에 조인합니다. ## 5단계: SQL Server DB 인스턴스 생성 또는 수정 디렉터리에서 사용할 SQL Server DB 인스턴스를 생성하거나 수정합니다. 콘솔, CLI 또는 RDS API를 사용하여 DB 인스턴스를 디렉터리에 연결할 수 있습니다. 이 작업을 다음 중 한 가지 방법으로 수행할 수 있습니다. + 콘솔, [create-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-instance.html) CLI 명령 또는 [CreateDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBInstance.html) RDS API 작업을 사용하여 새 SQL Server DB 인스턴스를 생성합니다. 지침은 [Amazon RDS DB 인스턴스 생성](USER_CreateDBInstance.md) 섹션을 참조하세요. + 콘솔, [modify-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-instance.html) CLI 명령 또는 [ModifyDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBInstance.html) RDS API 작업을 사용하여 기존 SQL Server DB 인스턴스를 수정합니다. 지침은 [Amazon RDS DB 인스턴스 수정](Overview.DBInstance.Modifying.md) 섹션을 참조하세요. + 콘솔, [restore-db-instance-from-db-snapshot](https://docs.aws.amazon.com/cli/latest/reference/rds/restore-db-instance-from-db-snapshot.html) CLI 명령 또는 [RestoreDBInstanceFromDBSnapshot](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_RestoreDBInstanceFromDBSnapshot.html) RDS API 작업을 사용하여 DB 스냅샷에서 SQL Server DB 인스턴스를 복원합니다. 지침은 [DB 인스턴스 복원](USER_RestoreFromSnapshot.md) 섹션을 참조하세요. + 콘솔, [restore-db-instance-to-point-in-time](https://docs.aws.amazon.com/cli/latest/reference/rds/restore-db-instance-to-point-in-time.html) CLI 명령 또는 [RestoreDBInstanceToPointInTime](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_RestoreDBInstanceToPointInTime.html) RDS API 작업을 사용하여 SQL Server DB 인스턴스를 특정 시점으로 복구합니다. 지침은 [Amazon RDS에서 DB 인스턴스를 지정된 시간으로 복원](USER_PIT.md) 섹션을 참조하세요. Windows 인증은 VPC의 SQL Server DB 인스턴스에 대해서만 지원됩니다. DB 인스턴스에서 생성한 도메인 디렉터리를 사용할 수 있으려면 다음이 필요합니다. + **디렉터리**의 경우 디렉터리를 만들 때 생성된 도메인 식별자(`d-ID`)를 선택해야 합니다. + VPC 보안 그룹에 DB 인스턴스가 디렉터리와 통신할 수 있도록 하는 아웃바운드 규칙이 있는지 확인합니다. ![\[Microsoft SQL Server Windows 인증 디렉터리\]](http://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/images/WinAuth1.png) AWS CLI를 사용하는 경우 생성한 도메인 디렉터리를 DB 인스턴스에서 사용하려면 다음과 같은 파라미터가 필요합니다. + `--domain` 파라미터의 경우 디렉터리를 만들 때 생성된 도메인 식별자(`d-ID`)를 사용합니다. + `--domain-iam-role-name` 파라미터의 경우 관리형 IAM 정책 `AmazonRDSDirectoryServiceAccess`를 사용하여 생성한 역할을 사용합니다. 예를 들어 다음 CLI 명령에서는 디렉터리를 사용하도록 DB 인스턴스를 수정합니다. 대상 LinuxmacOS, 또는Unix: ``` aws rds modify-db-instance \ --db-instance-identifier mydbinstance \ --domain d-ID \ --domain-iam-role-name role-name ``` Windows의 경우: ``` aws rds modify-db-instance ^ --db-instance-identifier mydbinstance ^ --domain d-ID ^ --domain-iam-role-name role-name ``` **중요** DB 인스턴스를 수정하여 Kerberos 인증을 활성화하는 경우에는 변경 후 DB 인스턴스를 재부팅하세요. ## 6단계: Windows 인증 SQL Server 로그인 생성 다른 DB 인스턴스의 경우와 같은 방법으로 Amazon RDS 마스터 사용자 자격 증명을 사용하여 SQL Server DB 인스턴스에 연결합니다. DB 인스턴스는 AWS Managed Microsoft AD 도메인에 조인되므로 SQL Server 로그인 및 사용자를 프로비저닝할 수 있습니다. 도메인의 Active Directory 사용자 및 그룹에서 이 작업을 수행합니다. 데이터베이스 권한은 이러한 Windows 로그인에 부여되거나 취소되는 표준 SQL Server 권한을 통해 관리됩니다. Active Directory 사용자가 SQL Server로 인증하려면 사용자 또는 사용자가 속한 그룹에 대한 SQL Server Windows 로그인이 있어야 합니다. 세분화된 액세스 제어는 이러한 SQL Server 로그인에 대한 권한을 부여하거나 취소하여 처리합니다. SQL Server 로그인이 없거나 이러한 로그인이 있는 그룹에 속하지 않은 사용자는 SQL Server DB 인스턴스에 액세스할 수 없습니다. Active Directory SQL Server 로그인을 생성하려면 ALTER ANY LOGIN 권한이 필요합니다. 이 권한을 가진 로그인을 아직 생성하지 않은 경우 SQL Server 인증을 사용하여 DB 인스턴스의 마스터 사용자로 연결합니다. 다음 예와 같은 DDL(데이터 정의 언어) 명령을 실행하여 Active Directory 사용자 또는 그룹에 대한 SQL Server 로그인을 생성합니다. **참고** Windows 2000 이전 로그인 이름을 사용하여 사용자 및 그룹을 `domainName\login_name` 형식으로 지정합니다. UPN(User Principle Name)을 *`login_name`*`@`*`DomainName`* 형식으로 사용할 수 없습니다. T-SQL 문을 사용해야만 RDS for SQL Server 인스턴스에서 Windows 인증 로그인을 만들 수 있습니다. SQL Server 관리 스튜디오를 사용하여 Windows 인증 로그인을 만들 수 없습니다. ``` USE [master] GO CREATE LOGIN [mydomain\myuser] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english]; GO ``` 자세한 내용은 Microsoft Developer Network 설명서에서 [CREATE LOGIN(Transact-SQL)](https://msdn.microsoft.com/en-us/library/ms189751.aspx)을 참조하세요. 도메인의 사용자(사람 및 애플리케이션)는 이제 Windows 인증을 사용하여 도메인이 조인된 클라이언트 컴퓨터의 RDS for SQL Server 인스턴스에 연결할 수 있습니다. # 도메인에서 DB 인스턴스 관리 콘솔, AWS CLI 또는 Amazon RDS API를 사용하여 DB 인스턴스 및 DB 인스턴스와 도메인과의 관계를 관리할 수 있습니다. 예를 들어, DB 인스턴스를 도메인 내로, 도메인 외부로 또는 도메인 간에 이동할 수 있습니다. 예를 들어 Amazon RDS API를 사용하여 다음을 수행할 수 있습니다. + 실패한 멤버십에 대한 도메인 조인을 다시 시도하려면 [ModifyDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBInstance.html) API 작업을 사용하고 현재 멤버십의 디렉터리 ID를 지정합니다. + 멤버십에 대한 IAM 역할 이름을 업데이트하려면 `ModifyDBInstance` API 작업을 사용하고 현재 멤버십의 디렉터리 ID 및 새 IAM 역할을 지정합니다. + 도메인에서 DB 인스턴스를 제거하려면 `ModifyDBInstance` API 작업을 사용하고 `none`을 도메인 파라미터로 지정합니다. + 한 도메인에서 다른 도메인으로 DB 인스턴스를 이동하려면 `ModifyDBInstance` API 작업을 사용하여 새 도메인의 도메인 식별자를 도메인 파라미터로 지정합니다. + 각 DB 인스턴스에 대한 멤버십을 나열하려면 [DescribeDBInstances](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/DescribeDBInstances.html) API 작업을 사용합니다. ## 도메인 멤버십 이해 DB 인스턴스를 생성하거나 수정한 경우 해당 인스턴스는 도메인의 구성원이 됩니다. AWS 콘솔은 DB 인스턴스에 대한 도메인 멤버십의 상태를 나타냅니다. DB 인스턴스의 상태는 다음 중 한 가지가 될 수 있습니다. + **joined** – 인스턴스가 도메인의 구성원입니다. + **joining** – 인스턴스가 도메인 구성원이 되기 위한 과정을 진행하고 있습니다. + **pending-join** – 인스턴스 멤버십이 보류 중입니다. + **pending-maintenance-join** - AWS에서 다음 예약된 유지 관리 기간 동안 인스턴스를 도메인의 멤버로 만들려고 시도합니다. + **pending-removal** – 도메인에서 인스턴스 제거 작업이 보류 중입니다. + **pending-maintenance-removal** - AWS에서 다음 예약된 유지 관리 기간 동안 도메인에서 인스턴스를 제거하려고 시도합니다. + **failed** – 구성 문제가 발생하여 인스턴스가 도메인에 조인되지 않았습니다. 인스턴스 수정 명령을 다시 실행하기 전에 구성을 확인하고 수정합니다. + **removing** – 인스턴스를 도메인에서 제거하고 있습니다. 네트워크 연결 문제 또는 잘못된 IAM 역할로 인해 도메인 구성원 되기 요청이 실패할 수 있습니다. 예를 들어, DB 인스턴스를 생성하거나 기존 인스턴스를 수정하여 DB 인스턴스가 도메인의 멤버가 되려는 시도를 못하게 할 수 있습니다. 이 경우 명령을 다시 실행하여 DB 인스턴스를 생성 또는 수정하거나 새로 생성된 인스턴스를 수정하여 도메인에 조인할 수 있습니다. # Windows 인증을 사용하여 SQL Server에 연결 Windows 인증을 사용하여 SQL Server에 연결하려면 도메인에 조인된 컴퓨터에 도메인 사용자로 로그인해야 합니다. 다음과 같이 SQL Server Management Studio를 시작한 후 **Windows 인증**을 인증 유형으로 선택합니다. ![\[Windows 인증을 사용하여 SQL Server에 연결\]](http://docs.aws.amazon.com/ko_kr/AmazonRDS/latest/UserGuide/images/WinAuth4.png) ## SQL Server DB 인스턴스를 복원한 후 도메인에 추가 DB 스냅샷을 복원하거나 SQL Server DB 인스턴스에 대한 특정 시점 복구(PITR)를 수행한 후 도메인에 추가할 수 있습니다. DB 인스턴스가 복원된 후 [5단계: SQL Server DB 인스턴스 생성 또는 수정](USER_SQLServerWinAuth.SettingUp.md#USER_SQLServerWinAuth.SettingUp.CreateModify)에 설명된 프로세스를 사용하여 DB 인스턴스를 도메인에 추가하도록 인스턴스를 수정합니다.