Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

为 RDS Custom for SQL Server 实例设置 Windows 身份验证

我们建议为任何拥有已加入 AD 域的 RDS Custom for SQL Server 数据库实例的 Amazon Web Services 账户创建专用 OU 以及作用域为该 OU 的服务凭证。通过专用 OU 和服务凭证，您可以避免权限冲突并遵循最低权限原则。

Active Directory 级别的组策略可能与 Amazon 自动化和权限发生冲突。我们建议选择仅适用于您为 RDS Custom for SQL Server 创建的 OU 的 GPO。

AD 域服务账户的要求如下：

这些是将计算机对象加入自托管式 AD 和 Amazon Managed Microsoft AD 至少需要具备的一组权限。有关更多信息，请参阅 Microsoft Windows Server 文档中的错误：当已委派控制的非管理员用户尝试将计算机加入域控制器时，访问被拒绝。

步骤 1：在 AD 中创建组织单位（OU）

请按照以下步骤在 AD 中创建组织单位：

对于 Amazon Managed Microsoft AD，此 OU 的名称基于您在创建目录时键入的 NetBIOS 名称。此 OU 属于 Amazon 并且包含您有权完全控制的所有 Amazon 相关目录对象。默认情况下，此 OU 下存在两个子 OU，名为 Computers 和 Users。RDS Custom 创建的新 OU 是基于 NetBIOS 的 OU 的子级。

步骤 2：创建 AD 域用户

域用户凭证用于 Secrets Manager 中的密钥。

步骤 3：将控制权委派给自托管式 AD 或 Amazon Managed Microsoft AD 中的 AD 用户

步骤 4：创建密钥

在包含要加入 Active Directory 的 RDS Custom for SQL Server 数据库实例的同一 Amazon Web Services 账户和区域中创建密钥。存储在步骤 2：创建 AD 域用户中创建的 AD 域用户的凭证。

Console

• 在 Amazon Secrets Manager 中，选择存储新密钥。

• 对于密钥类型，请选择其他密钥类型。

• 对于键/值对，请添加两个键：

  • 对于第一个键，输入 SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME，然后输入您的 AD 用户名作为值。

  • 对于第二个键，输入 SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD，然后输入域中 AD 用户的密码。

• 在加密密钥中，输入创建 RDS Custom for SQL Server 实例时所用的相同 Amazon KMS 密钥。

• 对于密钥名称，选择以 do-not-delete-rds-custom- 开头的密钥名称，以允许您的实例配置文件访问此密钥。如果您想为密钥选择一个不同的名称，请更新 RDSCustomInstanceProfile 以访问密钥名称。

• （可选）对于描述，输入密钥名称的描述。

• 添加标签 Key="AWSRDSCustom",Value="custom-sqlserver"

• 单击保存，然后单击下一步。

• 对于配置轮换设置，保留原定设置值并选择下一步。

• 查看密钥的设置，然后单击存储。

• 选择新密钥，然后复制密钥 ARN 的值。下一步将用它来设置您的 Active Directory。

CLI

在 CLI 中运行以下命令来创建密钥：

# Linux based
aws secretsmanager create-secret \
--name do-not-delete-rds-custom-DomainUserCredentails \ 
--description "Active directory user credentials for managing RDS Custom" \ 
--secret-string "{\"SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"tester\",\"SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"xxxxxxxx\"}" \
--kms-key-id <RDSCustomKMSKey> \
--tags Key="AWSRDSCustom",Value="custom-sqlserver"

# Windows based
aws secretsmanager create-secret ^
--name do-not-delete-rds-custom-DomainUserCredentails ^ 
--description "Active directory user credentials for managing RDS Custom" ^
--secret-string "{\"SELF_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"tester\",\"SELF_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"xxxxxxxx\"}" ^
--kms-key-id <RDSCustomKMSKey> ^
--tags Key="AWSRDSCustom",Value="custom-sqlserver"

步骤 5：创建或修改 RDS Custom for SQL Server 数据库实例

创建或修改 RDS Custom for SQL Server 数据库实例，以便与您的目录一起使用。您可以使用控制台、CLI 或 RDS API 将数据库实例与目录关联。您可以通过下列方式之一来执行该操作：

使用 Amazon CLI 时，数据库实例需要以下参数才能使用您创建的目录：

以下 CLI 命令创建一个新的 RDS Custom for SQL Server 数据库实例并将其加入自托管式或 Amazon Managed Microsoft AD 域。

对于 Linux、macOS 或 Unix：

aws rds create-db-instance  \
--engine custom-sqlserver-se \
--engine-version 15.00.4312.2.v1 \
--db-instance-identifier my-custom-instance \
--db-instance-class db.m5.large \
--allocated-storage 100 --storage-type io1 --iops 1000 \
--master-username my-master-username \
--master-user-password my-master-password \
--kms-key-id  my-RDSCustom-key-id \
--custom-iam-instance-profile AWSRDSCustomInstanceProfileForRdsCustomInstance  \
--domain-fqdn "corp.example.com" \
--domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" \
--domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" \
--db-subnet-group-name my-DB-subnet-grp \
--vpc-security-group-ids  my-securitygroup-id \
--no-publicly-accessible \
--backup-retention-period 3 \
--port 8200 \
--region us-west-2 \
--no-multi-az 
            

对于 Windows：

aws rds create-db-instance  ^
--engine custom-sqlserver-se ^
--engine-version 15.00.4312.2.v1 ^
--db-instance-identifier my-custom-instance ^
--db-instance-class db.m5.large ^
--allocated-storage 100 --storage-type io1 --iops 1000 ^
--master-usernamemy-master-username ^
--master-user-password my-master-password ^
--kms-key-id  my-RDSCustom-key-id ^
--custom-iam-instance-profile AWSRDSCustomInstanceProfileForRdsCustomInstance  ^
--domain-fqdn "corp.example.com" ^
--domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" ^
--domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" ^
--db-subnet-group-name my-DB-subnet-grp ^
--vpc-security-group-ids  my-securitygroup-id ^
--no-publicly-accessible ^
--backup-retention-period 3 ^
--port 8200 ^
--region us-west-2 ^
--no-multi-az

以下命令将现有 RDS Custom for SQL Server 数据库实例修改为使用 Active Directory 域。

对于 Linux、macOS 或 Unix：

aws rds modify-db-instance \
    --db-instance-identifier my-custom-instance \
    --domain-fqdn "corp.example.com" \
    --domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" \
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" \ 

对于 Windows：

aws rds modify-db-instance ^
    --db-instance-identifier my-custom-instance ^
    --domain-fqdn "corp.example.com" ^
    --domain-ou "OU=RDSCustomOU,DC=corp,DC=example,DC=com" ^
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:do-not-delete-rds-custom-my-AD-test-secret-123456" ^

以下 CLI 命令从 Active Directory 域中删除 RDS Custom for SQL Server 数据库实例。

对于 Linux、macOS 或 Unix：

aws rds modify-db-instance \
    --db-instance-identifier my-custom-instance \
    --disable-domain

对于 Windows：

aws rds modify-db-instance ^
    --db-instance-identifier my-custom-instance ^
    --disable-domain

使用控制台创建或修改实例时，单击启用 Microsoft SQL Server Windows 身份验证以查看以下选项。

您负责确保您的域 FQDN 解析为域控制器 IP 地址。如果域控制器 IP 未解析，则域加入操作将失败，但会成功创建 RDS Custom for SQL Server 实例。有关故障排除信息，请参阅Active Directory 故障排除。

步骤 6：创建 Windows 身份验证 SQL Server 登录名

使用 Amazon RDS 主用户凭证连接 SQL Server 数据库实例，就像连接任何其他数据库实例一样。由于数据库实例已加入 AD 域，因此您可以预配置 SQL Server 登录名和用户。您可以通过 AD 域中的 AD 用户和组实用程序执行此操作。通过对这些 Windows 登录名授予和撤销标准 SQL Server 权限来管理数据库权限。

对于 AD 用户，要对 SQL Server 进行身份验证，AD 用户或其所属的 Active Directory 组必须存在 SQL Server Windows 登录名。访问权限的精细控制是通过对这些 SQL Server 登录名授予和撤销权限来处理的。AD 用户没有 SQL Server 登录名，或者用户所属 AD 组中的登录名无法访问 SQL Server 数据库实例。

创建 AD SQL Server 登录名需要 ALTER ANY LOGIN 权限。如果您尚未使用此权限创建任何登录名，请使用 SQL Server 身份验证以数据库实例的主用户身份进行连接，并在主用户的上下文下创建 AD SQL Server 登录名。

您可以运行数据定义语言（DDL）命令（如以下示例），为 AD 用户或组创建 SQL Server 登录名。

USE [master]
GO
CREATE LOGIN [mydomain\myuser] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english];
GO

域中用户（人和应用程序）现在均可从加入域的客户端计算机使用 Windows 身份验证连接到 RDS Custom for SQL Server 实例。

步骤 7：使用 Kerberos 或 NTLM 身份验证

使用 RDS 端点进行 NTLM 身份验证

每个 Amazon RDS 数据库实例都有一个端点，每个端点都包含数据库实例的 DNS 名称和端口号。要使用 SQL 客户端应用程序连接到数据库实例，您需要该数据库实例的 DNS 名称和端口号。要使用 NTLM 身份验证进行身份验证，必须连接到 RDS 端点。

在计划内数据库维护或计划外服务中断期间，Amazon RDS 将自动失效转移到最新辅助数据库，以便操作能够在不进行手动干预的情况下快速恢复。主实例和辅助实例使用相同的端点，其物理网络地址作为失效转移过程的一部分转换到辅助实例。在故障转移时，您不必重新配置应用程序。

Kerberos 身份验证

RDS Custom for SQL Server 的基于 Kerberos 的身份验证要求连接到特定的服务主体名称（SPN）。但是，在失效转移事件发生后，应用程序可能不知道新 SPN。为了解决这个问题，RDS Custom for SQL Server 提供了一个基于 Kerberos 的端点。

基于 Kerberos 的端点遵循一种特定的格式。如果您的 RDS 端点为 rds-instance-name.account-region-hash.aws-region.rds.amazonaws.com，则相应基于 Kerberos 的端点将为 rds-instance-name.account-region-hash.aws-region.awsrds.fully qualified domain name (FQDN)。

例如，如果 RDS 端点为 ad-test.cocv6zwtircu.us-east-1.rds.amazonaws.com，域名为 corp-ad.company.com，则基于 Kerberos 的端点将为 ad-test.cocv6zwtircu.us-east-1.awsrds.corp-ad.company.com。

这个基于 Kerberos 的端点可用于使用 Kerberos 对 SQL Server 实例进行身份验证，即使在失效转移事件发生后也是如此，因为端点会自动更新为指向主 SQL Server 实例的新 SPN。

查找您的 CNAME

要查找您的 CNAME，请连接到域控制器并打开 DNS 管理器。导航到正向查找区域和您的 FQDN。

浏览 awsrds、aws-region，以及账户和区域特定的哈希值。

如果您要连接 RDS Custom EC2 实例并尝试使用 CNAME 在本地连接到数据库，则您的连接将使用 NTLM 身份验证而不是 Kerberos。

如果从远程客户端连接 CNAME 后返回了 NTLM 连接，请检查所需端口是否已列入允许列表。

要检查您的连接是否使用 Kerberos，请运行以下查询：

SELECT net_transport, auth_scheme
    FROM sys.dm_exec_connections
    WHERE session_id = @@SSPID;