Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

将自托管式 Active Directory 用于 Amazon RDS for SQL Server 数据库实例

无论您的 AD 托管在企业数据中心、Amazon EC2 上还是其他云提供商处，您都可以将 RDS for SQL Server 数据库实例直接加入到您的自托管式 Active Directory（AD）域。借助自托管式 AD，您可以使用 NTLM 身份验证直接控制 RDS for SQL Server 数据库实例上的用户和服务的身份验证，而无需使用中间域和林信任。当用户在加入您自托管式 AD 域的 RDS for SQL Server 数据库实例上进行身份验证时，身份验证请求将会转发到您指定的自托管式 AD 域中。

区域和版本可用性

Amazon RDS 在所有 Amazon Web Services 区域都支持通过自托管式 AD 使用 NTLM 控制 SQL Server 的身份验证。

要求

在将 RDS for SQL Server 数据库实例加入自托管式 AD 域之前，请确保您已满足以下要求。

配置您的本地 AD

确保您有一个本地或其他自托管式 Microsoft AD，您可以在其中加入 Amazon RDS for SQL Server 实例。您的本地 AD 应具有以下配置：

配置您的网络连接

确保您满足以下网络配置：

配置您的 AD 域服务账户

确保您的 AD 域服务账户满足以下要求：

限制

以下限制适用于面向 SQL Server 的自托管式 AD。

设置自托管式 Active Directory 概述

要为 RDS for SQL Server 数据库实例设置自托管式 AD，请执行以下步骤，详情请参阅设置自托管式 Active Directory：

在您的 AD 域中：

从 Amazon Web Services Management Console或 API：

设置自托管式 Active Directory

要设置自托管式 AD，请执行以下步骤。

步骤 1：在 AD 中创建组织单位

步骤 2：在您的 AD 中创建 AD 域用户

域用户凭证将用于 Amazon Secrets Manager 中的密钥。

步骤 3：将控制权委派给 AD 用户

步骤 4：创建 Amazon KMS 密钥

KMS 密钥用于加密您的 Amazon 密钥。

步骤 5：创建 Amazon 密钥

步骤 6：创建或修改 SQL Server 数据库实例

您可以使用控制台、CLI 或 RDS API 将 RDS for SQL Server 数据库实例与自托管式 AD 域关联。您可以通过下列方式之一来执行该操作：

使用 Amazon CLI 时，数据库实例需要以下参数才能使用您创建的自托管式 Active Directory 域：

以下示例 CLI 命令显示了如何创建、修改和删除已加入自托管式 AD 域的 RDS for SQL Server 数据库实例。

以下 CLI 命令创建一个新的 RDS for SQL Server 数据库实例并将其加入自托管式 AD 域。

对于 Linux、macOS 或 Unix：

aws rds create-db-instance \
    --db-instance-identifier my-DB-instance \
    --db-instance-class db.m5.xlarge \
    --allocated-storage 50 \
    --engine sqlserver-se \
    --engine-version 15.00.4043.16.v1 \
    --license-model license-included \
    --master-username my-master-username \
    --master-user-password my-master-password \
    --domain-fqdn my_AD_domain.my_AD.my_domain \
    --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain \
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \
    --domain-dns-ips "10.11.12.13" "10.11.12.14"

对于 Windows：

aws rds create-db-instance ^
    --db-instance-identifier my-DB-instance ^
    --db-instance-class db.m5.xlarge ^
    --allocated-storage 50 ^
    --engine sqlserver-se ^
    --engine-version 15.00.4043.16.v1 ^
    --license-model license-included ^
    --master-username my-master-username ^
    --master-user-password my-master-password ^
    --domain-fqdn my-AD-test.my-AD.mydomain ^
    --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain ^
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \ ^
    --domain-dns-ips "10.11.12.13" "10.11.12.14"

以下 CLI 命令将现有 RDS for SQL Server 数据库实例修改为使用自托管式 Active Directory 域。

对于 Linux、macOS 或 Unix：

aws rds modify-db-instance \
    --db-instance-identifier my-DB-instance \
    --domain-fqdn my_AD_domain.my_AD.my_domain \
    --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain \
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \ 
    --domain-dns-ips "10.11.12.13" "10.11.12.14"

对于 Windows：

aws rds modify-db-instance ^
    --db-instance-identifier my-DBinstance ^
    --domain-fqdn my_AD_domain.my_AD.my_domain ^
    --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain ^
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" ^ 
    --domain-dns-ips "10.11.12.13" "10.11.12.14"

以下 CLI 命令从自托管式 Active Directory 域中删除 RDS for SQL Server 数据库实例。

对于 Linux、macOS 或 Unix：

aws rds modify-db-instance \
    --db-instance-identifier my-DB-instance \
    --disable-domain

对于 Windows：

aws rds modify-db-instance ^
    --db-instance-identifier my-DB-instance ^
    --disable-domain

步骤 7：创建 Windows 身份验证 SQL Server 登录名

使用 Amazon RDS 主用户凭证连接 SQL Server 数据库实例，就像连接任何其他数据库实例一样。由于数据库实例已加入自托管式 AD 域，因此您可以预调配 SQL Server 登录名和用户。您可以通过自托管式 AD 域中的 AD 用户和组实用程序执行此操作。通过对这些 Windows 登录名授予和撤销标准 SQL Server 权限来管理数据库权限。

为了使自托管式 AD 用户能够在 SQL Server 上进行身份验证，自托管式 AD 用户或该用户所属的自托管式 Active Directory 组必须存在 SQL Server Windows 登录名。访问权限的精细控制是通过对这些 SQL Server 登录名授予和撤销权限来处理的。自托管式 AD 用户没有 SQL Server 登录名，或者用户所属自托管式 AD 组中的登录名无法访问 SQL Server 数据库实例。

创建自托管式 AD SQL Server 登录名需要 ALTER ANY LOGIN 权限。如果您尚未使用此权限创建任何登录名，请使用 SQL Server 身份验证以数据库实例的主用户身份进行连接，并在主用户的上下文下创建自托管式 AD SQL Server 登录名。

您可以运行数据定义语言（DDL）命令（如以下示例），为自托管式 AD 用户或组创建 SQL Server 登录名。

USE [master]
GO
CREATE LOGIN [my_AD_domain\my_AD_domain_user] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english];
GO

有关更多信息，请参阅 Microsoft 开发人员网络文档中的 CREATE LOGIN (Transact-SQL)。

域中用户（人和应用程序）现在均可从加入自托管式 AD 域的客户端计算机使用 Windows 身份验证连接到 RDS for SQL Server 实例。

在自托管式 Active Directory 域中管理数据库实例

您可以使用控制台、Amazon CLI 或 Amazon RDS API 来管理数据库实例及其与自托管式 AD 域的关系。例如，您可以将数据库实例移入域、移出域或在域之间移动。

例如，使用 Amazon RDS API，您可以执行下列操作：

了解自托管式 Active Directory 域成员资格

在创建或修改数据库实例后，实例将成为自托管式 AD 域的成员。Amazon 控制台将指示数据库实例的自托管式 Active Directory 域成员资格的状态。数据库实例的状态可以是以下状态之一：

成为自托管式 AD 域成员的请求可能因网络连接问题而失败。例如，您可能会创建数据库实例或修改现有实例，并且尝试使数据库实例成为某个自托管式 AD 域的成员会失败。在这种情况下，您重新发出命令来创建或修改数据库实例，或者修改新创建的实例来加入自托管式 AD 域。

自托管式 Active Directory 问题排查

以下是您在设置或修改自托管式 AD 时可能遇到的问题。

还原 SQL Server 数据库实例，然后将其添加到自托管式 Active Directory 域

您可以还原数据库快照或对 SQL Server 数据库实例执行时间点恢复（PITR），然后将其添加到自托管式 Active Directory 域。还原数据库实例后，使用步骤 6：创建或修改 SQL Server 数据库实例中介绍的过程修改此实例，以将数据库实例添加到自托管式 AD 域。