Amazon RDS for SQL Server DB 인스턴스를 사용하여 자체 관리형 Active Directory 작업

AD가 호스팅되는 위치(기업 데이터 센터, AWS EC2 또는 기타 클라우드 공급자)에 관계없이 RDS for SQL Server DB 인스턴스를 자체 관리형 Active Directory(AD) 도메인에 직접 가입시킬 수 있습니다. 자체 관리형 AD를 사용하면 중간 도메인 및 포리스트 신뢰를 사용하지 않고도 NTLM 인증을 사용하여 RDS for SQL Server DB 인스턴스의 사용자 및 서비스 인증을 직접 제어할 수 있습니다. 사용자가 자체 관리형 AD 도메인에 가입된 RDS for SQL Server DB 인스턴스를 사용하여 인증하면 인증 요청이 지정한 자체 관리형 AD 도메인으로 전달됩니다.

리전 및 버전 사용 가능 여부

Amazon RDS는 모든 AWS 리전에서 NTLM을 사용하는 SQL Server용 자체 관리형 AD를 지원합니다.

요구 사항

RDS for SQL Server DB 인스턴스를 자체 관리형 AD 도메인에 가입시키기 전에 다음 요구 사항을 충족해야 합니다.

주제

• 온프레미스 AD 구성
• 네트워크 연결 구성
• AD 도메인 서비스 계정 구성

온프레미스 AD 구성

Amazon RDS for SQL Server 인스턴스에 가입시킬 수 있는 온프레미스 또는 기타 자체 관리형 Microsoft AD가 있어야 합니다. 온프레미스 AD는 다음과 같은 구성을 가져야 합니다.

• Active Directory 사이트가 정의되어 있는 경우 RDS for SQL Server DB 인스턴스와 연결된 VPC의 서브넷이 Active Directory 사이트에 정의되어 있는지 확인합니다. VPC의 서브넷과 다른 AD 사이트의 서브넷 간에 충돌이 없는지 확인합니다.

• AD 도메인 컨트롤러의 도메인 기능 수준은 Windows Server 2008 R2 이상입니다.

• AD 도메인 이름은 단일 레이블 도메인(SLD) 형식일 수 없습니다. RDS for SQL Server는 SLD 도메인을 지원하지 않습니다.

• AD의 정규화된 도메인 이름(FQDN)이 47자를 초과하면 안 됩니다.

네트워크 연결 구성

다음 네트워크 구성을 충족하는지 확인합니다.

• RDS for SQL Server DB 인스턴스를 생성하려는 Amazon VPC와 자체 관리형 Active Directory 간에 연결이 구성되었습니다. AWS Direct Connect, AWS VPN, VPC 피어링 또는 AWS 전송 게이트웨이를 사용하여 연결을 설정할 수 있습니다.

• VPC 보안 그룹의 경우 기본 Amazon VPC의 기본 보안 그룹이 콘솔의 RDS for SQL Server DB 인스턴스에 이미 추가되었습니다. RDS for SQL Server DB 인스턴스를 만드는 서브넷의 보안 그룹과 VPC 네트워크 ACL이 다음 다이어그램에 표시된 방향으로 포트를 통한 트래픽을 허용하는지 확인합니다.

  

  다음 테이블에는 각 포트의 역할이 나와 있습니다.

  프로토콜	포트	역할
  TCP/UDP	53	도메인 이름 시스템(DNS)
  TCP/UDP	88	Kerberos 인증
  TCP/UDP	464	암호 변경/설정
  TCP/UDP	389	Lightweight Directory Access Protocol(LDAP)
  TCP	135	분산 컴퓨팅 환경/엔드포인트 매퍼(DCE/EPMAP)
  TCP	445	디렉터리 서비스 SMB 파일 공유
  TCP	636	Lightweight Directory Access Protocol over TLS/SSL(LDAPS)
  TCP	49,152~65,535	RPC용 임시 포트

• 일반적으로 도메인 DNS 서버는 AD 도메인 컨트롤러에 있습니다. 이 기능을 사용하기 위해 VPC DHCP 옵션 세트를 구성할 필요는 없습니다. 자세한 정보는 Amazon VPC 사용 설명서의 DHCP 옵션 세트를 참조하세요.

중요

VPC 네트워크 ACL을 사용하는 경우 RDS for SQL Server DB 인스턴스의 동적 포트(49152-65535)를 통한 아웃바운드 트래픽도 허용해야 합니다. 이러한 트래픽 규칙이 각 AD 도메인 컨트롤러, DNS 서버 및 RDS for SQL Server DB 인스턴스에 적용되는 방화벽에도 반영되는지 확인하세요.

VPC 보안 그룹에서는 네트워크 트래픽이 시작되는 방향으로만 포트를 열어야 하지만, 대부분의 Windows 방화벽과 VPC 네트워크 ACL에서는 포트가 양방향으로 열려 있어야 합니다.

AD 도메인 서비스 계정 구성

AD 도메인 서비스 계정에 대한 다음 요구 사항을 충족했는지 확인합니다.

• 자체 관리형 AD 도메인에는 컴퓨터를 도메인에 연결할 수 있는 권한이 위임된 서비스 계정이 있어야 합니다. 도메인 서비스 계정은 특정 작업을 수행할 권한이 위임된 자체 관리형 AD의 사용자 계정입니다.

• 도메인 서비스 계정은 RDS for SQL Server DB 인스턴스에 가입시키려는 조직 단위(OU)에서 다음 권한을 위임받아야 합니다.

  • DNS 호스트 이름에 쓸 수 있는 검증된 기능

  • 서비스 보안 주체 이름에 쓸 수 있는 검증된 기능

  • 컴퓨터 객체 생성 및 삭제

  이러한 권한은 컴퓨터 객체를 자체 관리형 Active Directory에 가입시키는 데 필요한 최소 권한 집합을 나타냅니다. 자세한 내용은 Microsoft Windows Server 설명서에서 컴퓨터를 도메인에 연결하려고 할 때 발생하는 오류를 참조하세요.

중요

DB 인스턴스를 만든 후에는 RDS for SQL Server가 조직 단위에서 생성한 컴퓨터 객체를 옮기지 마세요. 연결된 객체를 이동하면 RDS for SQL Server DB 인스턴스가 잘못 구성될 수 있습니다. Amazon RDS에서 생성한 컴퓨터 객체를 이동해야 하는 경우 ModifyDBInstance RDS API 작업을 사용하여 컴퓨터 객체의 원하는 위치로 도메인 파라미터를 수정하세요.

제한 사항

SQL Server용 자체 관리형 AD에는 다음과 같은 제한 사항이 적용됩니다.

• NTLM이 지원되는 유일한 인증 유형입니다. Kerberos 인증은 지원되지 않습니다. Kerberos 인증을 사용해야 하는 경우 자체 관리형 AD 대신 AWS 관리형 AD를 사용할 수 있습니다.

• Microsoft Distributed Transaction Coordinator(MSDTC) 서비스는 Kerberos 인증이 필요하므로 지원되지 않습니다.

• RDS for SQL Server DB 인스턴스에서는 자체 관리형 AD 도메인의 Network Time Protocol(NTP) 서버를 사용하지 않습니다. 대신 AWS NTP 서비스를 사용합니다.

• SQL Server 연결 서버는 자체 관리형 AD 도메인에 가입된 다른 RDS for SQL Server DB 인스턴스에 연결하는 데 SQL 인증을 사용해야 합니다.

• 자체 관리형 AD 도메인의 Microsoft Group Policy Object(GPO) 설정은 RDS for SQL Server DB 인스턴스에 적용되지 않습니다.

자체 관리형 Active Directory 설정 개요

RDS for SQL Server DB 인스턴스용 자체 관리형 AD를 설정하려면 다음 단계를 수행하세요. 자세한 내용은 자체 관리형 Active Directory 설정에서 설명합니다.

AD 도메인에서:

• 조직 단위(OU)를 생성합니다.

• AD 도메인 사용자를 생성합니다.

• AD 도메인 사용자에게 제어를 위임합니다.

AWS Management Console 또는 API에서:

• AWS KMS 키를 생성합니다.

• AWS Secrets Manager를 사용하여 보안 암호를 생성합니다.

• RDS for SQL Server DB 인스턴스를 만들거나 수정하여 자체 관리형 AD 도메인에 가입시킵니다.

자체 관리형 Active Directory 설정

자체 관리형 AD를 설정하려면 다음 단계를 따르세요.

주제

• 1단계: AD에서 조직 단위 생성
• 2단계: AD에서 AD 도메인 사용자 생성
• 3단계: AD 사용자에게 제어 권한 위임
• 4단계: AWS KMS 키 생성
• 5단계: AWS 보안 암호 생성
• 6단계: SQL Server DB 인스턴스 생성 또는 수정
• 7단계: Windows 인증 SQL Server 로그인 생성

1단계: AD에서 조직 단위 생성

중요

자체 관리형 AD 도메인에 가입된 RDS for SQL Server DB 인스턴스를 소유한 AWS 계정에 대해 전용 OU 및 해당 OU 범위의 서비스 보안 인증을 만드는 것이 좋습니다. 전용 OU 및 서비스 보안 인증을 지정하면 권한 충돌을 피하고 최소 권한 원칙을 따를 수 있습니다.

AD에서 OU를 생성하려면

1. 도메인 관리자로 AD 도메인에 연결합니다.

2. Active Directory 사용자 및 컴퓨터를 열고 OU를 생성할 도메인을 선택합니다.

3. 도메인을 마우스 오른쪽 버튼으로 클릭하고 새로 만들기를 선택한 다음 조직 단위를 선택합니다.

4. OU 이름을 입력합니다.

5. 컨테이너가 실수로 삭제되지 않도록 보호 확인란을 선택한 상태로 유지합니다.

6. 확인을 클릭합니다. 새 OU는 도메인 아래에 표시됩니다.

2단계: AD에서 AD 도메인 사용자 생성

도메인 사용자 보안 인증 정보는 AWS Secrets Manager에서 보안 암호로 사용됩니다.

AD에서 AD 도메인 사용자를 생성하려면

1. Active Directory 사용자 및 컴퓨터를 열고 사용자를 생성할 도메인과 OU를 선택합니다.

2. 사용자 객체를 마우스 오른쪽 버튼으로 클릭하고 새로 만들기, 사용자 순으로 선택합니다.

3. 사용자의 이름, 성 및 로그온 이름을 입력합니다. 다음을 클릭합니다.

4. 사용자의 암호를 입력합니다. “다음 로그인 시 사용자가 암호를 변경해야 함”을 선택하지 마세요. “계정이 비활성화됨”을 선택하지 마세요. 다음을 클릭합니다.

5. 확인을 클릭합니다. 새 사용자는 도메인 아래에 표시됩니다.

3단계: AD 사용자에게 제어 권한 위임

도메인의 AD 도메인 사용자에게 제어 권한을 위임하려면

1. Active Directory 사용자 및 컴퓨터 MMC 스냅인을 열고 사용자를 생성할 도메인을 선택합니다.

2. 이전에 만든 OU를 마우스 오른쪽 버튼으로 클릭하고 제어 위임을 선택합니다.

3. 제어 위임 마법사에서 다음을 클릭합니다.

4. 사용자 또는 그룹 섹션에서 추가를 클릭합니다.

5. 사용자, 컴퓨터 또는 그룹 선택 섹션에서 생성한 AD 사용자를 입력하고 이름 확인을 클릭합니다. AD 사용자 확인에 성공하면 확인을 클릭합니다.

6. 사용자 또는 그룹 섹션에서 AD 사용자가 추가되었는지 확인하고 다음을 클릭합니다.

7. 위임할 작업 섹션에서 위임할 사용자 지정 작업 생성을 선택하고 다음을 클릭합니다.

8. Active Directory 객체 유형 섹션에서:

   1. 폴더의 다음 객체만을 선택합니다.

   2. 컴퓨터 객체를 선택합니다.

   3. 이 폴더에서 선택한 객체 생성을 선택합니다.

   4. 이 폴더에서 선택한 객체 삭제를 선택하고 다음을 클릭합니다.

9. 권한 섹션에서:

   1. 일반을 선택한 상태로 유지합니다.

   2. DNS 호스트 이름에 대한 검증된 쓰기를 선택합니다.

   3. 서비스 보안 주체 이름에 대한 검증된 쓰기를 선택하고 다음을 클릭합니다.

10. 제어 위임 마법사를 완료하려면 설정을 검토 및 확인한 다음 마침을 클릭합니다.

4단계: AWS KMS 키 생성

KMS 키는 AWS 보안 암호를 암호화하는 데 사용됩니다.

AWS KMS 키를 생성하려면

참고

암호화 키의 경우 AWS 기본 KMS 키를 사용하지 마세요. 자체 관리형 AD에 가입시키려는 RDS for SQL Server DB 인스턴스가 포함된 동일한 AWS 계정에 AWS KMS 키를 만들어야 합니다.

1. AWS KMS 콘솔에서 키 생성을 선택합니다.

2. 키 유형에 대해 대칭을 선택합니다.

3. 키 사용에서 암호화 및 암호 해독을 선택합니다.

4. 고급 옵션에서 다음을 수행합니다.

   1. 키 구성 요소 오리진에서 KMS를 선택합니다.

   2. 리전 구분에서 단일 리전 키를 선택하고 다음을 클릭합니다.

5. 별칭의 경우 KMS 키의 이름을 입력합니다.

6. (선택 사항) 설명에 KMS 키에 대한 설명을 입력합니다.

7. (선택 사항) 태그의 경우 KMS 키에 태그를 지정하고 다음을 클릭합니다.

8. 키 관리자의 경우 IAM 사용자의 이름을 입력하고 선택합니다.

9. 키 삭제의 경우 키 관리자가 이 키를 삭제하도록 허용 확인란을 선택한 상태로 유지하고 다음을 클릭합니다.

10. 키 사용자의 경우 이전 단계와 동일한 IAM 사용자를 입력하고 해당 사용자를 선택합니다. 다음을 클릭합니다.

11. 구성을 검토합니다.

12. 주요 정책의 경우 정책 문에 다음을 포함하세요.

    {
        "Sid": "Allow use of the KMS key on behalf of RDS",
        "Effect": "Allow",
        "Principal": {
            "Service": [
                "rds.amazonaws.com"
            ]
        },
        "Action": "kms:Decrypt",
        "Resource": "*"
    }

13. 완료를 클릭합니다.

5단계: AWS 보안 암호 생성

보안 암호 생성

참고

자체 관리형 AD에 가입시키려는 RDS for SQL Server DB 인스턴스가 포함된 동일한 AWS 계정에 보안 암호를 만들어야 합니다.

1. AWS Secrets Manager에서 새 보안 암호 저장을 선택합니다.

2. 보안 암호 유형에서 다른 유형의 보안 암호를 선택합니다.

3. 키/값 쌍의 경우 2개의 키를 추가합니다.

   1. 첫 번째 키에는 CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME를 입력합니다.

   2. 첫 번째 키의 값에는 이전 단계에서 도메인에서 생성한 AD 사용자의 이름을 입력합니다.

   3. 두 번째 키에는 CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD를 입력합니다.

   4. 두 번째 키의 값으로 도메인의 AD 사용자에 대해 생성한 암호를 입력합니다.

4. 암호화 키에는 이전 단계에서 생성한 KMS 키를 입력하고 다음을 클릭합니다.

5. 보안 암호 이름에는 나중에 암호를 찾는 데 도움이 되는 설명이 포함된 이름을 입력합니다.

6. (선택 사항) 설명에 보안 암호 이름에 대한 설명을 입력합니다.

7. 리소스 권한의 경우 편집을 클릭합니다.

8. 권한 정책에 다음 정책을 추가합니다.

   참고

   혼란스러운 대리인 문제를 피하기 위해 정책의 aws:sourceAccount 및 aws:sourceArn 조건을 사용하는 것이 좋습니다. aws:sourceAccount에는 AWS 계정를 사용하고 aws:sourceArn에는 RDS for SQL Server DB 인스턴스를 사용합니다. 자세한 내용은 교차 서비스 혼동된 대리자 문제 방지 단원을 참조하십시오.

   {
       "Version": "2012-10-17",
       "Statement":
       [
           {
               "Effect": "Allow",
               "Principal":
               {
                   "Service": "rds.amazonaws.com"
               },
               "Action": "secretsmanager:GetSecretValue",
               "Resource": "*",
               "Condition":
               {
                   "StringEquals":
                   {
                       "aws:sourceAccount": "123456789012"
                   },
                   "ArnLike":
                   {
                       "aws:sourceArn": "arn:aws:rds:us-west-2:123456789012:db:*"
                   }
               }
           }
       ]
   }

9. 저장을 클릭한 후 다음을 클릭합니다.

10. 교체 설정 구성에서 기본값을 유지하고 다음을 선택합니다.

11. 보안 암호 설정을 검토하고 저장을 클릭합니다.

12. 생성한 보안 암호를 선택하고 보안 암호 ARN의 값을 복사합니다. 이는 다음 단계에서 자체 관리형 Active Directory를 설정하는 데 사용됩니다.

6단계: SQL Server DB 인스턴스 생성 또는 수정

콘솔, CLI 또는 RDS API를 사용하여 RDS for SQL Server DB 인스턴스를 자체 관리형 AD 도메인에 연결할 수 있습니다. 이 작업을 다음 중 한 가지 방법으로 수행할 수 있습니다.

• 콘솔, create-db-instance CLI 명령 또는 CreateDBInstance RDS API 작업을 사용하여 새 SQL Server DB 인스턴스를 생성합니다.

  지침은 Amazon RDS DB 인스턴스 생성 섹션을 참조하세요.

• 콘솔, modify-db-instance CLI 명령 또는 ModifyDBInstance RDS API 작업을 사용하여 기존 SQL Server DB 인스턴스를 수정합니다.

  지침은 Amazon RDS DB 인스턴스 수정 섹션을 참조하세요.

• 콘솔, restore-db-instance-from-db-snapshot CLI 명령 또는 RestoreDBInstanceFromDBSnapshot RDS API 작업을 사용하여 DB 스냅샷에서 SQL Server DB 인스턴스를 복원합니다.

  지침은 DB 인스턴스 복원 섹션을 참조하세요.

• 콘솔, restore-db-instance-to-point-in-time CLI 명령 또는 RestoreDBInstanceToPointInTime RDS API 작업을 사용하여 SQL Server DB 인스턴스를 특정 시점으로 복구합니다.

  지침은 DB 인스턴스를 지정된 시간으로 복원 단원을 참조하십시오.

AWS CLI를 사용하는 경우 DB 인스턴스가 생성한 자체 관리형 Active Directory 도메인을 사용하려면 다음과 같은 파라미터가 필요합니다.

• --domain-fqdn 파라미터에는 자체 관리형 Active Directory의 정규화된 도메인 이름(FQDN)을 사용합니다.

• --domain-ou 파라미터에는 자체 관리형 AD에서 만든 OU를 사용합니다.

• --domain-auth-secret-arn 파라미터에는 이전 단계에서 생성한 보안 암호 ARN의 값을 사용합니다.

• --domain-dns-ips 파라미터에는 자체 관리형 AD용 DNS 서버의 프라이머리 및 보조 IPv4 주소를 사용합니다. 보조 DNS 서버 IP 주소가 없는 경우 프라이머리 IP 주소를 2번 입력합니다.

다음 예제 CLI 명령은 자체 관리형 AD 도메인이 있는 RDS for SQL Server DB 인스턴스를 생성, 수정 및 제거하는 방법을 보여줍니다.

중요

자체 관리형 AD 도메인에 가입하거나 자체 관리형 AD 도메인에서 제거하도록 DB 인스턴스를 수정한 경우 변경 사항이 적용되려면 DB 인스턴스를 재부팅해야 합니다. 변경 사항을 즉시 적용하거나 다음 유지 관리 기간까지 기다릴 수 있습니다. 즉시 적용 옵션을 선택하면 단일 AZ DB 인스턴스에 가동 중단이 발생합니다. 다중 AZ DB 인스턴스는 재부팅을 완료하기 전에 장애 조치를 수행합니다. 자세한 내용은 수정 일정 설정 단원을 참조하십시오.

다음 CLI 명령은 새 RDS for SQL Server DB 인스턴스를 만들어 자체 관리형 AD 도메인에 가입시킵니다.

대상 LinuxmacOS, 또는Unix:

aws rds create-db-instance \
    --db-instance-identifier my-DB-instance \
    --db-instance-class db.m5.xlarge \
    --allocated-storage 50 \
    --engine sqlserver-se \
    --engine-version 15.00.4043.16.v1 \
    --license-model license-included \
    --master-username my-master-username \
    --master-user-password my-master-password \
    --domain-fqdn my_AD_domain.my_AD.my_domain \
    --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain \
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \
    --domain-dns-ips "10.11.12.13" "10.11.12.14"

Windows의 경우:

aws rds create-db-instance ^
    --db-instance-identifier my-DB-instance ^
    --db-instance-class db.m5.xlarge ^
    --allocated-storage 50 ^
    --engine sqlserver-se ^
    --engine-version 15.00.4043.16.v1 ^
    --license-model license-included ^
    --master-username my-master-username ^
    --master-user-password my-master-password ^
    --domain-fqdn my-AD-test.my-AD.mydomain ^
    --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain ^
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \ ^
    --domain-dns-ips "10.11.12.13" "10.11.12.14"

다음 CLI 명령은 자체 관리형 Active Directory 도메인을 사용하도록 기존 RDS for SQL Server DB 인스턴스를 수정합니다.

대상 LinuxmacOS, 또는Unix:

aws rds modify-db-instance \
    --db-instance-identifier my-DB-instance \
    --domain-fqdn my_AD_domain.my_AD.my_domain \
    --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain \
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \ 
    --domain-dns-ips "10.11.12.13" "10.11.12.14"

Windows의 경우:

aws rds modify-db-instance ^
    --db-instance-identifier my-DBinstance ^
    --domain-fqdn my_AD_domain.my_AD.my_domain ^
    --domain-ou OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain ^
    --domain-auth-secret-arn "arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" ^ 
    --domain-dns-ips "10.11.12.13" "10.11.12.14"

다음 CLI 명령은 자체 관리형 Active Directory 도메인에서 RDS for SQL Server DB 인스턴스를 제거합니다.

대상 LinuxmacOS, 또는Unix:

aws rds modify-db-instance \
    --db-instance-identifier my-DB-instance \
    --disable-domain

Windows의 경우:

aws rds modify-db-instance ^
    --db-instance-identifier my-DB-instance ^
    --disable-domain

7단계: Windows 인증 SQL Server 로그인 생성

다른 DB 인스턴스의 경우와 같은 방법으로 Amazon RDS 마스터 사용자 보안 인증 정보를 사용하여 SQL Server DB 인스턴스에 연결합니다. DB 인스턴스는 자체 관리형 AD 도메인에 가입되므로 SQL Server 로그인 및 사용자를 프로비저닝할 수 있습니다. 이 작업은 자체 관리형 AD 도메인의 AD 사용자 및 그룹 유틸리티에서 수행합니다. 데이터베이스 권한은 이러한 Windows 로그인에 부여되거나 취소되는 표준 SQL Server 권한을 통해 관리됩니다.

자체 관리형 AD 사용자가 SQL 서버를 사용하여 인증하려면 자체 관리형 AD 사용자 또는 사용자가 구성원인 자체 관리형 Active Directory 그룹에 대한 SQL Server Windows 로그인이 있어야 합니다. 세분화된 액세스 제어는 이러한 SQL Server 로그인에 대한 권한을 부여하거나 취소하여 처리합니다. SQL Server 로그인이 없거나 이러한 로그인이 있는 자체 관리형 AD 그룹에 속하지 않은 자체 관리형 AD 사용자는 SQL Server DB 인스턴스에 액세스할 수 없습니다.

자체 관리형 AD SQL Server 로그인을 생성하려면 ALTER ANY LOGIN 권한이 필요합니다. 이 권한으로 로그인을 생성하지 않은 경우 SQL Server 인증을 사용하여 DB 인스턴스의 마스터 사용자로 연결하고 마스터 사용자의 맥락에서 자체 관리형 AD SQL Server 로그인을 생성합니다.

다음과 같은 데이터 정의 언어(DDL) 명령을 실행하여 자체 관리형 AD 사용자 또는 그룹에 대한 SQL Server 로그인을 생성할 수 있습니다.

참고

Windows 2000 이전 로그인 이름을 사용하여 사용자 및 그룹을 my_AD_domain\my_AD_domain_user 형식으로 지정합니다. UPN(User Principle Name)을 my_AD_domain_user@my_AD_domain 형식으로 사용할 수 없습니다.

USE [master]
GO
CREATE LOGIN [my_AD_domain\my_AD_domain_user] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english];
GO

자세한 내용은 Microsoft Developer Network 설명서에서 CREATE LOGIN(Transact-SQL)을 참조하세요.

도메인의 사용자(사람 및 애플리케이션)는 이제 Windows 인증을 사용하여 자체 관리형 AD 도메인이 연결된 클라이언트 컴퓨터의 RDS for SQL Server 인스턴스에 연결할 수 있습니다.

자체 관리형 Active Directory 도메인에서 DB 인스턴스 관리

콘솔, AWS CLI 또는 Amazon RDS API를 사용하여 DB 인스턴스 및 DB 인스턴스와 자체 관리형 AD 도메인과의 관계를 관리할 수 있습니다. 예를 들어, DB 인스턴스를 도메인 내로, 도메인 외부로 또는 도메인 간에 이동할 수 있습니다.

예를 들어 Amazon RDS API를 사용하여 다음을 수행할 수 있습니다.

• 실패한 멤버십에 대해 자체 관리형 도메인 가입을 다시 시도하려면 ModifyDBInstance API 작업을 사용하고 동일한 파라미터 세트를 지정하세요.

  • --domain-fqdn

  • --domain-dns-ips

  • --domain-ou

  • --domain-auth-secret-arn

• 자체 관리형 도메인에서 DB 인스턴스를 제거하려면 ModifyDBInstance API 작업을 사용하고 --disable-domain을 도메인 파라미터로 지정합니다.

• DB 인스턴스를 한 자체 관리형 도메인에서 다른 도메인으로 이동하려면 ModifyDBInstance API 작업을 사용하고 새 도메인에 대한 도메인 파라미터를 지정합니다.

  • --domain-fqdn

  • --domain-dns-ips

  • --domain-ou

  • --domain-auth-secret-arn

• 각 DB 인스턴스에 대한 자체 관리형 AD 도메인 멤버십을 나열하려면 DescribeDBInstances API 작업을 사용합니다.

자체 관리형 Active Directory 도메인 멤버십에 대한 이해

DB 인스턴스를 생성하거나 수정한 경우 해당 인스턴스는 자체 관리형 AD 도메인의 구성원이 됩니다. AWS 콘솔은 DB 인스턴스에 대한 자체 관리형 Active Directory 도메인 멤버십의 상태를 나타냅니다. DB 인스턴스의 상태는 다음 중 한 가지가 될 수 있습니다.

• joined – 인스턴스가 AD 도메인의 구성원입니다.

• joining – 인스턴스가 AD 도메인 구성원이 되기 위한 과정을 진행하고 있습니다.

• pending-join – 인스턴스 멤버십이 보류 중입니다.

• pending-maintenance-join - AWS에서 다음 예약된 유지 관리 기간 동안 인스턴스를 AD 도메인의 구성원으로 만들려고 시도합니다.

• pending-removal – AD 도메인에서 인스턴스 제거 작업이 보류 중입니다.

• pending-maintenance-removal - AWS에서 다음 예약된 유지 관리 기간 동안 AD 도메인에서 인스턴스를 제거하려고 시도합니다.

• failed – 구성 문제가 발생하여 인스턴스가 AD 도메인에 가입되지 않았습니다. 인스턴스 수정 명령을 다시 실행하기 전에 구성을 확인하고 수정합니다.

• removing – 인스턴스를 자체 관리형 AD 도메인에서 제거하고 있습니다.

네트워크 연결 문제로 인해 자체 관리형 AD 도메인 구성원 되기 요청이 실패할 수 있습니다. 예를 들어 DB 인스턴스를 생성하거나 기존 인스턴스를 수정하여 DB 인스턴스가 자체 관리형 AD 도메인의 구성원이 되려는 시도를 못하게 할 수 있습니다. 이 경우 명령을 다시 실행하여 DB 인스턴스를 생성 또는 수정하거나 새로 생성된 인스턴스를 수정하여 자체 관리형 AD 도메인에 가입할 수 있습니다.

자체 관리형 Active Directory 문제 해결

다음은 자체 관리형 AD를 설정하거나 수정할 때 발생할 수 있는 문제입니다.

오류 코드	설명	일반적인 원인	문제 해결 제안
오류 2/0x2	시스템이 지정된 파일을 찾을 수 없습니다.	—domain-ou 파라미터로 지정된 조직 단위(OU)의 형식 또는 위치가 잘못되었습니다. AWS Secrets Manager를 통해 지정된 도메인 서비스 계정에는 OU에 가입하는 데 필요한 권한이 없습니다.	—domain-ou 파라미터를 검토합니다. 도메인 서비스 계정에 OU에 대한 올바른 권한이 있는지 확인합니다. 자세한 내용은 AD 도메인 서비스 계정 구성 단원을 참조하십시오.
오류 5/0x5	액세스가 거부되었습니다.	도메인 서비스 계정에 대한 권한이 잘못 구성되었거나 컴퓨터 계정이 이미 도메인에 있습니다.	도메인의 도메인 서비스 계정 권한을 검토하고 RDS 컴퓨터 계정이 도메인에 중복되지 않았는지 확인합니다. RDS for SQL Server DB 인스턴스에서 SELECT @@SERVERNAME을 실행하여 RDS 컴퓨터 계정의 이름을 확인할 수 있습니다. 다중 AZ를 사용하는 경우 장애 조치를 사용하여 재부팅한 다음 RDS 컴퓨터 계정을 다시 확인합니다. 자세한 내용은 DB 인스턴스 재부팅 단원을 참조하십시오.
오류 87/0x57	파라미터가 올바르지 않습니다.	AWS Secrets Manager를 통해 지정된 도메인 서비스 계정에 올바른 권한이 없습니다. 사용자 프로필도 손상되었을 수 있습니다.	도메인 서비스 계정의 요구 사항을 검토합니다. 자세한 내용은 AD 도메인 서비스 계정 구성 단원을 참조하십시오.
오류 234/0xEA	지정된 조직 단위(OU)가 없습니다.	—domain-ou 파라미터로 지정된 OU가 자체 관리형 AD에 존재하지 않습니다.	—domain-ou 파라미터를 검토하고 지정된 OU가 자체 관리형 AD에 있는지 확인합니다.
오류 1326/0x52E	사용자 이름 또는 암호가 잘못되었습니다.	AWS Secrets Manager에 제공된 도메인 서비스 계정 보안 인증 정보에 알 수 없는 사용자 이름이나 잘못된 암호가 있습니다. 자체 관리형 AD에서 도메인 계정을 사용하지 않도록 설정할 수도 있습니다.	AWS Secrets Manager에 제공된 보안 인증 정보가 올바르고 자체 관리형 Active Directory에서 도메인 계정이 활성화되어 있는지 확인합니다.
오류 1355/0x54B	지정된 도메인이 존재하지 않거나 해당 주소를 찾을 수 없습니다.	도메인이 중지되었거나, 지정된 DNS IP 집합에 연결할 수 없거나, 지정된 FQDN에 연결할 수 없습니다.	—domain-dns-ips 및 —domain-fqdn 파라미터를 검토하여 올바른지 확인합니다. RDS for SQL Server DB 인스턴스의 네트워킹 구성을 검토하고 자체 관리형 AD에 연결할 수 있는지 확인합니다. 자세한 내용은 네트워크 연결 구성 단원을 참조하십시오.
오류 1722/0x6BA	RPC 서버를 사용할 수 없습니다.	AD 도메인의 RPC 서비스에 연결하는 중 문제가 발생했습니다. 서비스 또는 네트워크 문제일 수 있습니다.	RPC 서비스가 도메인 컨트롤러에서 실행되고 있고 TCP 포트 135 및 49152-65535에서 RDS for SQL Server DB 인스턴스의 도메인에 연결할 수 있는지 확인합니다.
오류 2224/0x8B0	계정이 이미 있습니다.	자체 관리형 AD에 추가하려는 컴퓨터 계정이 이미 있습니다.	RDS for SQL Server DB 인스턴스에서 SELECT @@SERVERNAME을 실행하여 컴퓨터 계정을 식별한 다음 자체 관리형 AD에서 해당 계정을 신중히 제거합니다.
오류 2242/0x8c2	이 사용자의 암호가 만료되었습니다.	AWS Secrets Manager를 통해 지정한 도메인 서비스 계정의 암호가 만료되었습니다.	RDS for SQL Server DB 인스턴스를 자체 관리형 AD에 가입시키는 데 사용되는 도메인 서비스 계정의 암호를 업데이트합니다.

SQL Server DB 인스턴스를 복원한 후 자체 관리형 Active Directory 도메인에 추가

DB 스냅샷을 복원하거나 SQL Server DB 인스턴스에 대한 특정 시점 복구(PITR)를 수행한 후 자체 관리형 Active Directory 도메인에 추가할 수 있습니다. DB 인스턴스가 복원된 후 6단계: SQL Server DB 인스턴스 생성 또는 수정에 설명된 프로세스를 사용하여 DB 인스턴스를 자체 관리형 AD 도메인에 추가하도록 인스턴스를 수정합니다.