为 SQL Server 数据库实例设置 Windows 身份验证

使用 Amazon Directory Service for Microsoft Active Directory（也称为 Amazon Managed Microsoft AD）为 SQL Server 数据库实例设置 Windows 身份验证。要设置 Windows 身份验证，请执行下列步骤。

步骤 1：使用 Amazon Directory Service for Microsoft Active Directory 创建目录

Amazon Directory Service 将在 Amazon 云中创建完全托管的 Microsoft Active Directory。创建 Amazon Managed Microsoft AD 目录时，Amazon Directory Service 将代表您创建两个域控制器和域名服务 (DNS) 服务器。目录服务器在 VPC 内的两个不同可用区中的两个子网中创建。这种冗余有助于确保即使发生故障，目录仍可访问。

创建 Amazon Managed Microsoft AD 目录时，Amazon Directory Service 代表您执行以下任务：

在启动 Amazon Directory Service for Microsoft Active Directory 时，Amazon 创建一个组织单位 (OU)，其中包含目录的所有对象。此 OU (具有您在创建目录时键入的 NetBIOS 名称) 位于域根目录中。此域根目录由 Amazon 拥有和管理。

使用您的 Amazon Managed Microsoft AD 目录创建的 admin 账户对您的 OU 的最常见管理活动具有以下权限：

admin 账户还具有执行下列域范围活动的权限：

目录创建需要几分钟时间。创建成功后，Status (状态) 值将更改为 Active (活动)。

要查看有关您的目录的信息，请在目录列表中选择目录。记下目录 ID。在创建或修改 SQL Server 数据库实例时，您将需要此值。

步骤 2：创建 Amazon RDS 使用的 IAM 角色

如果您使用控制台创建您的 SQL Server 数据库实例，则可跳过此步。如果您已使用 CLI 或 RDS API 创建 SQL Server 数据库实例，则必须创建使用 AmazonRDSDirectoryServiceAccess 托管 IAM 策略的 IAM 角色。此角色允许 Amazon RDS 为您调用 Amazon Directory Service。

如果您使用自定义策略来加入域，而不是使用 Amazon 托管的 AmazonRDSDirectoryServiceAccess 策略，请确保允许 ds:GetAuthorizedApplicationDetails 操作。由于 Amazon Directory Service API 发生变化，这一要求自 2019 年 7 月起生效。

以下 IAM 策略 AmazonRDSDirectoryServiceAccess 提供对 Amazon Directory Service 的访问权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
            "ds:DescribeDirectories", 
            "ds:AuthorizeApplication", 
            "ds:UnauthorizeApplication",
            "ds:GetAuthorizedApplicationDetails"
        ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

我们建议在基于资源的信任关系中使用 aws:SourceArn 和 aws:SourceAccount 全局条件上下文键，以此限制服务对特定资源的权限。这是防范混淆代理问题最有效的方法。

您可以使用这两个全局条件上下文键并让 aws:SourceArn 值包含账户 ID。在这种情况下，当 aws:SourceAccount 值和 aws:SourceArn 值中的账户使用相同策略语句时，确保二者使用相同的账户 ID。

在信任关系中，请务必使用 aws:SourceArn 全局条件上下文键和访问角色资源的完整 Amazon Resource Name (ARN)。对于 Windows 身份验证，请确保包含数据库实例，如以下示例所示。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rds.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": [
                        "arn:aws:rds:Region:my_account_ID:db:db_instance_identifier"
                    ]
                }
            }
        }
    ]
}

使用此 IAM 策略和信任关系创建 IAM 角色。有关创建 IAM 角色的更多信息，请参阅 IAM 用户指南 中的创建客户托管策略。

步骤 3：创建和配置用户和组

您可以使用“Active Directory 用户和计算机”工具创建用户和组。该工具是 Active Directory Domain Services 和 Active Directory Lightweight Directory Services 工具之一。用户表示有权访问您的目录的独立个人或实体。对于针对用户组授予或拒绝权限非常有用，从而不必将这些权限应用于每个独立用户。

要在 Amazon Directory Service 目录中创建用户和组，您必须连接到属于 Amazon Directory Service 目录成员的 Windows EC2 实例。您还必须以具有创建用户和组权限的用户身份登录。有关更多信息，请参阅 Amazon Directory Service管理指南中的添加用户和组（Simple AD 和 Amazon Managed Microsoft AD）。

步骤 4：在目录和数据库实例之间启用跨 VPC 流量

如果您打算将目录和数据库实例放在同一 VPC 中，请跳过该步骤，然后转到步骤 5：创建或修改 SQL Server 数据库实例。

如果您计划在不同 VPC 中查找目录和数据库实例，请使用 VPC 对等连接或 Amazon Transit Gateway 配置跨 VPC 流量。

以下过程使用 VPC 对等连接启用 VPC 之间的流量。请按照 Amazon Virtual Private Cloud 对等连接指南中的什么是 VPC 对等连接？操作。

如果该目录由不同的 Amazon 账户拥有，则您必须共享该目录。

步骤 5：创建或修改 SQL Server 数据库实例

创建或修改 SQL Server 数据库实例，以便与您的目录一起使用。您可以使用控制台、CLI 或 RDS API 将数据库实例与目录关联。您可以通过下列方式之一来执行该操作：

只有 VPC 中的 SQL Server 数据库实例才支持 Windows 身份验证。

要使数据库实例能够使用您创建的域目录，需要满足以下条件：

使用 Amazon CLI 时，数据库实例需要以下参数才能使用您创建的目录：

例如，以下 CLI 命令会修改数据库实例以使用目录。

对于 Linux、macOS 或 Unix：

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --domain d-ID \
    --domain-iam-role-name role-name 
            

对于 Windows：

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --domain d-ID ^
    --domain-iam-role-name role-name 		
            

步骤 6：创建 Windows 身份验证 SQL Server 登录名

使用 Amazon RDS 主用户凭证连接到 SQL Server 数据库实例，就像连接到任何其他数据库实例一样。由于数据库实例已加入 Amazon Managed Microsoft AD 域，因此您可以预配置 SQL Server 登录名和用户。您可以从域中的 Active Directory 用户和组执行此操作。通过对这些 Windows 登录名授予和撤销标准 SQL Server 权限来管理数据库权限。

对于 Active Directory 用户，要对 SQL Server 进行身份验证，此用户或其所属的组必须存在 SQL Server Windows 登录名。访问权限的精细控制是通过对这些 SQL Server 登录名授予和撤销权限来处理的。用户没有 SQL Server 登录名，或者用户所属组中的登录名无法访问 SQL Server 数据库实例。

创建 Active Directory SQL Server 登录名需要 ALTER ANY LOGIN 权限。如果您未使用此权限创建任何登录名，请使用 SQL Server 身份验证作为数据库实例的主用户进行连接。

运行数据定义语言 (DDL) 命令（如以下示例）为 Active Directory 用户或组创建 SQL Server 登录名。

USE [master]
GO
CREATE LOGIN [mydomain\myuser] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english];
GO

有关更多信息，请参阅 Microsoft 开发人员网络文档中的 CREATE LOGIN (Transact-SQL)。

域中用户（人和应用程序）现在均可从加入域的客户端计算机使用 Windows 身份验证连接到 RDS for SQL Server 实例。