Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de l'authentification Windows pour les instances RDS personnalisées pour les SQL serveurs

Nous recommandons de créer une unité d'organisation dédiée et des informations d'identification de service étendues à cette unité d'organisation pour tous Compte AWS ceux qui possèdent une instance de base de données RDS personnalisée pour SQL serveur jointe à votre domaine AD. En consacrant une UO et des informations d'identification de service, vous évitez les conflits d'autorisations et respectez le principe du moindre privilège.

Les politiques de groupe au niveau d'Active Directory peuvent entrer en conflit avec AWS les automatisations et les autorisations. Nous vous recommandons GPO de sélectionner ceux qui s'appliquent uniquement à l'unité d'organisation que vous créez pour RDS Custom for SQL Server.

Les exigences relatives à un compte de service de domaine AD sont les suivantes :

Il s'agit de l'ensemble minimal d'autorisations requis pour joindre des objets informatiques à votre AD autogéré et AWS Managed Microsoft AD. Pour plus d'informations, voir Erreur : l'accès est refusé lorsque des utilisateurs non administrateurs auxquels le contrôle a été délégué tentent de joindre des ordinateurs à un contrôleur de domaine dans la documentation Microsoft Windows Server.

Étape 1 : créer une unité organisationnelle (UO) dans votre AD

Procédez comme suit pour créer une unité organisationnelle dans votre AD :

En effet AWS Managed Microsoft AD, le nom de cette unité d'organisation est basé sur le BIOS nom réseau que vous avez saisi lors de la création de votre répertoire. Cette unité d'organisation est détenue par AWS et contient tous vos AWS objets de répertoire associés, sur lesquels vous avez un contrôle total. Par défaut, deux enfants OUs existent sous cette UO, à savoir Computers et Users. Les nouveautés OUs créées par RDS Custom sont un enfant de l'unité d'organisation basée sur le réseauBIOS.

Étape 2 : créer un utilisateur de domaine AD

Les informations d'identification de l'utilisateur du domaine sont utilisées pour le secret dans Secrets Manager.

Étape 3 : déléguer le contrôle à l'utilisateur AD en mode autogéré ou AWS Managed Microsoft AD

Étape 4 : Création d'un secret

Créez le secret dans la même Compte AWS région qui contient l'instance de base de données RDS personnalisée pour le SQL serveur que vous souhaitez inclure dans votre Active Directory. Stockez les informations d'identification de l'utilisateur du domaine AD créé dansÉtape 2 : créer un utilisateur de domaine AD.

Console

• Dans AWS Secrets Manager, choisissez Enregistrer un nouveau secret.

• Pour Secret type (Type de secret), choisissez Other type of secret (Autre type de secret).

• Pour les paires clé/valeur, ajoutez deux clés :

  • La première clé, SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME et entrez le nom de votre utilisateur AD pour la valeur.

  • Pour la deuxième clé, entrez SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD le mot de passe de votre utilisateur AD sur votre domaine.

• Pour la clé de chiffrement, entrez la même AWS KMS clé que celle que vous avez utilisée pour créer une instance RDS personnalisée pour le SQL serveur.

• Pour Nom du secret, choisissez le nom du secret commençant par do-not-delete-rds-custom- pour permettre à votre profil d'instance d'accéder à ce secret. SI vous souhaitez choisir un autre nom pour le secret, mettez-le à jour RDSCustomInstanceProfile pour accéder au nom du secret.

• (Facultatif) Pour Description, saisissez une description du nom du secret.

• Ajoutez les tags Key="AWSRDSCustom",Value="custom-sqlserver"

• Cliquez sur Enregistrer, puis sur Suivant.

• Pour Configurer les paramètres de rotation, conservez les valeurs par défaut et choisissez Suivant.

• Passez en revue les paramètres du secret et cliquez sur Stocker.

• Choisissez le nouveau secret et copiez la valeur de Secret ARN. Nous l'utiliserons à l'étape suivante pour configurer Active Directory.

CLI

Exécutez la commande suivante dans votre CLI pour créer un secret :

# Linux based
aws secretsmanager create-secret \
--name do-not-delete-rds-custom-DomainUserCredentails \ 
--description "Active directory user credentials for managing RDS Custom" \ 
--secret-string "{\"SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"tester\",\"SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"xxxxxxxx\"}" \
--kms-key-id <RDSCustomKMSKey> \
--tags Key="AWSRDSCustom",Value="custom-sqlserver"

# Windows based
aws secretsmanager create-secret ^
--name do-not-delete-rds-custom-DomainUserCredentails ^ 
--description "Active directory user credentials for managing RDS Custom" ^
--secret-string "{\"SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"tester\",\"SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"xxxxxxxx\"}" ^
--kms-key-id <RDSCustomKMSKey> ^
--tags Key="AWSRDSCustom",Value="custom-sqlserver"

Étape 5 : créer ou modifier une instance de base de données RDS personnalisée pour le SQL serveur

Créez ou modifiez une instance de base de données RDS personnalisée pour le SQL serveur à utiliser avec votre annuaire. Vous pouvez utiliser la console ou associer une instance RDS API de base de données à un répertoire. CLI Vous pouvez effectuer cette opération de différentes manières :

Lorsque vous utilisez le AWS CLI, les paramètres suivants sont requis pour que l'instance de base de données puisse utiliser le répertoire que vous avez créé :

La CLI commande suivante crée une nouvelle instance de base de données RDS personnalisée pour le SQL serveur et la joint à une instance autogérée ou à un AWS Managed Microsoft AD domaine.

Dans Linux, macOS, ou Unix:

aws rds create-db-instance  \
--engine custom-sqlserver-se \
--engine-version 15.00.4312.2.v1 \
--db-instance-identifier my-custom-instance \
--db-instance-class db.m5.large \
--allocated-storage 100 --storage-type io1 --iops 1000 \
--master-username my-master-username \
--master-user-password my-master-password \
--kms-key-id  my-RDSCustom-key-id \
--custom-iam-instance-profile AWSRDSCustomInstanceProfileForRdsCustomInstance  \
--domain-fqdn "corp.example.com" \
--domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" \
--domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" \
--db-subnet-group-name my-DB-subnet-grp \
--vpc-security-group-ids  my-securitygroup-id \
--no-publicly-accessible \
--backup-retention-period 3 \
--port 8200 \
--region us-west-2 \
--no-multi-az 
            

Dans Windows:

aws rds create-db-instance  ^
--engine custom-sqlserver-se ^
--engine-version 15.00.4312.2.v1 ^
--db-instance-identifier my-custom-instance ^
--db-instance-class db.m5.large ^
--allocated-storage 100 --storage-type io1 --iops 1000 ^
--master-usernamemy-master-username ^
--master-user-password my-master-password ^
--kms-key-id  my-RDSCustom-key-id ^
--custom-iam-instance-profile AWSRDSCustomInstanceProfileForRdsCustomInstance  ^
--domain-fqdn "corp.example.com" ^
--domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" ^
--domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" ^
--db-subnet-group-name my-DB-subnet-grp ^
--vpc-security-group-ids  my-securitygroup-id ^
--no-publicly-accessible ^
--backup-retention-period 3 ^
--port 8200 ^
--region us-west-2 ^
--no-multi-az

La commande suivante modifie une instance de base de données RDS Custom for SQL Server existante afin d'utiliser un domaine Active Directory.

Dans Linux, macOS, ou Unix:

aws rds modify-db-instance \
    --db-instance-identifier my-custom-instance \
    --domain-fqdn "corp.example.com" \
    --domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" \
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" \ 

Dans Windows:

aws rds modify-db-instance ^
    --db-instance-identifier my-custom-instance ^
    --domain-fqdn "corp.example.com" ^
    --domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" ^
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" ^

La CLI commande suivante supprime une instance de base de données RDS personnalisée pour le SQL serveur d'un domaine Active Directory.

Dans Linux, macOS, ou Unix:

aws rds modify-db-instance \
    --db-instance-identifier my-custom-instance \
    --disable-domain

Dans Windows:

aws rds modify-db-instance ^
    --db-instance-identifier my-custom-instance ^
    --disable-domain

Lorsque vous utilisez la console pour créer ou modifier votre instance, cliquez sur Activer l'authentification Microsoft SQL Server Windows pour voir les options suivantes.

Il est de votre responsabilité de vous assurer que votre domaine FQDN correspond aux adresses IP du contrôleur de domaine. Si le contrôleur de domaine IPs ne parvient pas à résoudre le problème, les opérations de jointure de domaine échouent mais la création d'une instance RDS personnalisée pour le SQL serveur réussit. Pour plus d’informations sur le dépannage, consultez Dépannage d’Active Directory.

Étape 6 : Création d'une connexion au SQL serveur d'authentification Windows

Utilisez les informations d'identification de l'utilisateur RDS principal Amazon pour vous connecter à l'instance de base de données SQL du serveur comme vous le faites pour toute autre instance de base de données. Étant donné que l'instance de base de données est jointe au domaine AD, vous pouvez configurer les connexions et les utilisateurs SQL du serveur. Pour ce faire, utilisez l'utilitaire Utilisateurs et groupes AD de votre domaine AD. Les autorisations de base de données sont gérées par le biais d'autorisations de SQL serveur standard accordées et révoquées à ces connexions Windows.

Pour qu'un utilisateur AD puisse s'authentifier auprès de SQL SQL Server, un identifiant Windows Server doit exister pour l'utilisateur AD ou pour un groupe Active Directory dont l'utilisateur est membre. Le contrôle d'accès précis est géré par l'octroi et la révocation d'autorisations sur ces SQL connexions au serveur. Un utilisateur AD qui n'a pas de connexion au SQL serveur ou qui n'appartient pas à un groupe AD avec un tel identifiant ne peut pas accéder à l'instance de base de données SQL du serveur.

L'ALTER ANY LOGINautorisation est requise pour créer une connexion au SQL serveur AD. Si vous n'avez créé aucune connexion avec cette autorisation, connectez-vous en tant qu'utilisateur principal de l'instance de base de données à l'aide de l'authentification SQL du serveur et créez vos connexions au SQL serveur AD dans le contexte de l'utilisateur principal.

Vous pouvez exécuter une commande Data Definition Language (DDL) telle que la suivante pour créer une connexion au SQL serveur pour un utilisateur ou un groupe AD.

USE [master]
GO
CREATE LOGIN [mydomain\myuser] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english];
GO

Les utilisateurs (humains et applications) de votre domaine peuvent désormais se connecter à l'instance RDS Custom for SQL Server à partir d'un ordinateur client joint au domaine à l'aide de l'authentification Windows.

Étape 7 : Utilisation de Kerberos ou de l'authentification NTLM

NTLMauthentification à l'aide d'un RDS terminal

Chaque RDS instance de base de données Amazon possède un point de terminaison et chaque point de terminaison possède un DNS nom et un numéro de port pour l'instance de base de données. Pour vous connecter à votre instance de base de données à l'aide d'une application SQL cliente, vous avez besoin du DNS nom et du numéro de port de votre instance de base de données. Pour vous authentifier à l'aide de NTLM l'authentification, vous devez vous connecter au RDS point de terminaison.

Lors de la maintenance planifiée de la base de données ou d'une interruption de service imprévue, Amazon bascule RDS automatiquement vers la base de données up-to-date secondaire afin que les opérations puissent reprendre rapidement sans intervention manuelle. Les instances principale et secondaire utilisent le même point de terminaison, dont l'adresse réseau physique passe au secondaire dans le cadre du processus de basculement. Vous n'avez pas à reconfigurer votre application lorsqu'un basculement se produit.

Authentification Kerberos

L'authentification basée sur Kerberos pour RDS Custom for SQL Server nécessite que des connexions soient établies à un nom principal de service spécifique (). SPN Cependant, après un événement de basculement, il est possible que l'application ne soit pas consciente de la nouvelleSPN. Pour résoudre ce problème, RDS Custom for SQL Server propose un point de terminaison basé sur Kerberos.

Le point de terminaison basé sur Kerberos suit un format spécifique. Si votre RDS point de terminaison l'estrds-instance-name.account-region-hash.aws-region.rds.amazonaws.com, le point de terminaison basé sur Kerberos correspondant serait. rds-instance-name.account-region-hash.aws-region.awsrds.fully qualified domain name (FQDN)

Par exemple, si le RDS point de terminaison est ad-test.cocv6zwtircu.us-east-1.rds.amazonaws.com et que le nom de domaine estcorp-ad.company.com, le point de terminaison basé sur Kerberos serait. ad-test.cocv6zwtircu.us-east-1.awsrds.corp-ad.company.com

Ce point de terminaison basé sur Kerberos peut être utilisé pour s'authentifier auprès de l'instance de SQL serveur à l'aide de Kerberos, même après un événement de basculement, car le point de terminaison est automatiquement mis à jour pour pointer vers la nouvelle instance de serveur principale. SPN SQL

Trouver votre CNAME

Pour le trouverCNAME, connectez-vous à votre contrôleur de domaine et ouvrez le DNSGestionnaire. Accédez à Forward Lookup Zones et à votreFQDN.

Parcourez les récompenses, l'aws-region et le hachage spécifique au compte et à la région.

Si vous connectez l'EC2instance RDS personnalisée et que vous essayez de vous connecter à la base de données localement en utilisantCNAME, votre connexion utilisera l'NTLMauthentification au lieu de Kerberos.

Si, après la connexion CNAME depuis un client distant, une NTLM connexion est renvoyée, vérifiez si les ports requis sont autorisés.

Pour vérifier si votre connexion utilise Kerberos, exécutez la requête suivante :

SELECT net_transport, auth_scheme
    FROM sys.dm_exec_connections
    WHERE session_id = @@SSPID;