本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
使用 Active Directory 搭配 Amazon RDS for Oracle 的 Kerberos 身分驗證
您可以使用 Kerberos 身分驗證，在使用者連線至 Amazon RDS for Oracle 資料庫執行個體時驗證使用者身分。在此組態中，您的資料庫執行個體可與 Active Directory 搭配使用。當使用者使用加入網域的 RDS for Oracle 資料庫執行個體進行身分驗證時，身分驗證請求會轉送至資料庫執行個體加入的目錄：您使用 建立的目錄 Directory Service，或自我管理的 Active Directory 網域。
將您的所有登入資料保留在相同目錄可以節省您的時間和精力。您有一個集中位置，用於存放及管理多個資料庫執行個體的登入資料。目錄也可以改善您的整體安全性描述檔。
您的 Active Directory 網域可以在 Directory Service Microsoft Active Directory 的 上託管，也稱為 AWS Managed Microsoft AD，在您選擇的位置內部 AWS或自我管理 Active Directory 上託管，包括您的公司資料中心、Amazon Elastic Compute Cloud (Amazon EC2) 上或其他雲端提供者。
注意
Microsoft Entra ID （先前為 Azure Active Directory) 是雲端型身分服務，而不是 Active Directory Domain Services (AD DS) 網域。自我管理 Active Directory 需要提供 Kerberos 身分驗證的 AD DS 網域，因此您無法使用自我管理 Active Directory 將 RDS for Oracle 資料庫執行個體加入 Microsoft Entra ID。
在下列各節中，您可以找到使用 AWS Managed Active Directory 和適用於 Amazon RDS for Oracle 的自我管理 Active Directory 的相關資訊。
主題
在自我管理 AD 和 AWS Managed Microsoft AD 之間進行選擇
您可以將 RDS for Oracle 資料庫執行個體加入自我管理 Active Directory 網域或 AWS Managed Microsoft AD 目錄。使用任一選項，您的資料庫使用者會透過 Kerberos 單一登入，使用其 Active Directory 登入資料登入。這兩個選項都使用相同的 Oracle 使用者模型 (CREATE USER ... IDENTIFIED EXTERNALLY) 和相同的 Kerberos 用戶端組態。差別在於資料庫執行個體加入的目錄，以及 Amazon RDS 用來加入它的登入資料。
當您的使用者和服務帳戶已位於您在內部部署、Amazon EC2 或與其他雲端供應商執行的 AD 網域中，且您希望資料庫執行個體直接加入該網域時，請選擇自我管理 AD。由於資料庫執行個體會加入現有的網域，因此您不需要支付或操作 AWS Managed Microsoft AD 目錄，也不需要建立樹系信任。若要使用此選項，您可以設定從虛擬私有雲端 (VPC) 到網域控制站的網路連線。您也可以提供在組織單位 (OU) 上具有委派許可的 AD 網域服務帳戶。Amazon RDS 使用此帳戶將資料庫執行個體加入您的網域。
當您 AWS 想要為您執行網域控制站，或您已將 AWS Managed Microsoft AD 目錄與其他 AWS 服務搭配使用時，請選擇 AWS Managed Microsoft AD。
下表摘要說明差異。
| 項目 | AWS Managed Microsoft AD | 自我管理 AD |
|---|---|---|
| 目錄 | Directory Service 您帳戶中的 目錄 | 您自己的 AD 網域 （內部部署、Amazon EC2 或其他雲端） |
| Amazon RDS 使用的登入資料 | 具有 AmazonRDSDirectoryServiceAccess受管政策的 IAM 角色 |
存放在使用 AWS KMS 金鑰加密之 Secrets Manager 秘密中的 AD 網域服務帳戶 |
| AWS CLI 參數 | --domain, --domain-iam-role-name |
--domain-fqdn, --domain-ou, --domain-auth-secret-arn, --domain-dns-ips |
