Trabalhar com um Active Directory autogerenciado com uma instância de banco de dados do Amazon RDS para SQL Server - Amazon Relational Database Service
Disponibilidade de região e versãoLimitaçõesVisão geral da configuração de um Active Directory autogerenciadoEntender a associação a um domínio de Active Directory autogerenciadoRestaurar uma instância de banco de dados e adicioná-la a um domínio de Active Directory autogerenciado

Trabalhar com um Active Directory autogerenciado com uma instância de banco de dados do Amazon RDS para SQL Server

Você pode unir suas instâncias de banco de dados do RDS para SQL Server diretamente ao seu domínio autogerenciado do Active Directory (AD), independentemente de onde seu AD esteja hospedado: em datacenters corporativos, no AWS EC2 ou em outros provedores de nuvem. Com um AD autogerenciado, você usa a autenticação NTLM para controlar diretamente a autenticação de usuários e serviços em suas instâncias de banco de dados do RDS para SQL Server sem usar domínios intermediários e relações de confiança de floresta. Quando os usuários se autenticam em uma instância de banco de dados do RDS para SQL Server associada ao seu domínio de AD autogerenciado, as solicitações de autenticação são encaminhadas para um domínio de AD autogerenciado especificado por você.

Tópicos

Disponibilidade de região e versão

O Amazon RDS oferece suporte a AD autogerenciado para SQL Server usando NTLM em todas as Regiões da AWS.

Limitações

As seguintes limitações se aplicam a um AD autogerenciado para SQL Server.

  • NTLM é o único tipo de autenticação compatível. A autenticação Kerberos não é compatível. Se você precisar usar a autenticação Kerberos, poderá usar o AWS Managed AD em vez de um AD autogerenciado.

  • O serviço Coordenador de Transações Distribuídas da Microsoft (MSDTC) não é compatível, pois requer autenticação Kerberos.

  • Suas instâncias de banco de dados do RDS para SQL Server não usam o servidor de protocolo NTP (Network Time Protocol) do seu domínio de AD autogerenciado. Em vez disso, usam um serviço de NTP da AWS.

  • Os servidores vinculados ao SQL Server devem usar a autenticação SQL para se conectar a outras instâncias de banco de dados do RDS para SQL Server associadas ao seu domínio de AD autogerenciado.

  • As configurações de Objeto de Política de Grupo (GPO) da Microsoft do seu domínio de AD autogerenciado não são aplicadas a instâncias de banco de dados do RDS para SQL Server.

Visão geral da configuração de um Active Directory autogerenciado

Para configurar um AD autogerenciado para uma instância de banco de dados RDS para SQL Server, siga as etapas a seguir, explicadas com mais detalhes em Configurar um Active Directory autogerenciado:

Em seu domínio de AD:

  • Crie uma unidade organizacional (OU).

  • Crie um usuário do domínio de AD.

  • Delegue controle ao usuário do domínio de AD.

Usando o AWS Management Console ou a API:

  • Crie uma chave do AWS KMS.

  • Crie um segredo usando o AWS Secrets Manager.

  • Crie ou modifique uma instância de banco de dados do RDS para SQL Server e associe-a ao domínio de AD autogerenciado.

Entender a associação a um domínio de Active Directory autogerenciado

Depois de criar ou modificar uma instância de banco de dados, a instância se tornará um membro do domínio de AD autogerenciado. O console da AWS indica o status da associação ao domínio de AD autogerenciado para a instância de banco de dados. O status da instância de banco de dados pode ser um dos seguintes:

  • joined: a instância é membro do domínio de AD.

  • joining: a instância está em processo de se tornar membro do domínio de AD.

  • pending-join – a associação da instância está pendente.

  • pending-maintenance-join: a AWS tentará tornar a instância um membro do domínio de AD durante a próxima janela de manutenção agendada.

  • pending-removal: a remoção da instância do domínio de AD está pendente.

  • pending-maintenance-removal: a AWS tentará remover a instância do domínio de AD durante a próxima janela de manutenção agendada.

  • failed: um problema de configuração impediu que a instância se associasse ao domínio de AD. Verifique e corrija sua configuração antes de emitir novamente o comando de modificação da instância.

  • removing: a instância está sendo removida do domínio de AD.

Uma solicitação para se tornar um membro de um domínio de AD autogerenciado pode falhar devido a um problema de conectividade de rede. Por exemplo, você pode conseguir criar uma instância de banco de dados ou modificar uma instância existente, mas não conseguir transformar a instância de banco de dados em um membro de um domínio de AD autogerenciado. Nesse caso, execute novamente o comando para criar ou modificar a instância de banco de dados ou modifique a instância recém-criada para associá-la ao domínio de AD autogerenciado.

Restaurar uma instância de banco de dados do SQL Server e adicioná-la a um domínio de Active Directory autogerenciado

Você pode restaurar um snapshot de banco de dados ou fazer uma recuperação para um ponto no tempo (PITR) de uma instância de banco de dados do SQL Server e adicioná-la a um domínio de Active Directory autogerenciado. Depois que a instância de banco de dados tiver sido restaurada, modifique-a usando o processo explicado em Etapa 6: Criar ou modificar a instância de banco de dados do SQL Server para adicioná-la a um domínio de AD autogerenciado.