本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 使用 Active Directory 搭配 Amazon RDS for Oracle 的 Kerberos 身分驗證
<a name="oracle-active-directory"></a>

您可以使用 Kerberos 身分驗證，在使用者連線至 Amazon RDS for Oracle 資料庫執行個體時驗證使用者身分。在此組態中，您的資料庫執行個體可與 Active Directory 搭配使用。當使用者使用加入網域的 RDS for Oracle 資料庫執行個體進行身分驗證時，身分驗證請求會轉送至資料庫執行個體加入的目錄：您使用 建立的目錄 Directory Service，或自我管理的 Active Directory 網域。

將您的所有登入資料保留在相同目錄可以節省您的時間和精力。您有一個集中位置，用於存放及管理多個資料庫執行個體的登入資料。目錄也可以改善您的整體安全性描述檔。

您的 Active Directory 網域可以在 Directory Service Microsoft Active Directory 的 上託管，也稱為 AWS Managed Microsoft AD，在您選擇的位置內部 AWS或自我管理 Active Directory 上託管，包括您的公司資料中心、Amazon Elastic Compute Cloud (Amazon EC2) 上或其他雲端提供者。

**注意**  
Microsoft Entra ID （先前為 Azure Active Directory) 是雲端型身分服務，而不是 Active Directory Domain Services (AD DS) 網域。自我管理 Active Directory 需要提供 Kerberos 身分驗證的 AD DS 網域，因此您無法使用自我管理 Active Directory 將 RDS for Oracle 資料庫執行個體加入 Microsoft Entra ID。

在下列各節中，您可以找到使用 AWS Managed Active Directory 和適用於 Amazon RDS for Oracle 的自我管理 Active Directory 的相關資訊。

**Topics**
+ [在自我管理 AD 和 AWS Managed Microsoft AD 之間進行選擇](#oracle-active-directory.choosing)
+ [使用具有 Amazon RDS for Oracle 資料庫執行個體的 AWS 受管 Active Directory](oracle-kerberos.md)
+ [使用自我管理 Active Directory 搭配 Amazon RDS for Oracle 資料庫執行個體](oracle-smad.md)

## 在自我管理 AD 和 AWS Managed Microsoft AD 之間進行選擇
<a name="oracle-active-directory.choosing"></a>

您可以將 RDS for Oracle 資料庫執行個體加入自我管理 Active Directory 網域或 AWS Managed Microsoft AD 目錄。使用任一選項，您的資料庫使用者會透過 Kerberos 單一登入，使用其 Active Directory 登入資料登入。這兩個選項都使用相同的 Oracle 使用者模型 (`CREATE USER ... IDENTIFIED EXTERNALLY`) 和相同的 Kerberos 用戶端組態。差別在於資料庫執行個體加入的目錄，以及 Amazon RDS 用來加入它的登入資料。

當您的使用者和服務帳戶已位於您在內部部署、Amazon EC2 或與其他雲端供應商執行的 AD 網域中，且您希望資料庫執行個體直接加入該網域時，請選擇**自我管理** AD。由於資料庫執行個體會加入現有的網域，因此您不需要支付或操作 AWS Managed Microsoft AD 目錄，也不需要建立樹系信任。若要使用此選項，您可以設定從虛擬私有雲端 (VPC) 到網域控制站的網路連線。您也可以提供在組織單位 (OU) 上具有委派許可的 AD 網域服務帳戶。Amazon RDS 使用此帳戶將資料庫執行個體加入您的網域。

當您 AWS 想要為您執行網域控制站，或您已將 **AWS Managed Microsoft AD **目錄與其他 AWS 服務搭配使用時，請選擇 AWS Managed Microsoft AD。

下表摘要說明差異。


| 項目 | AWS Managed Microsoft AD | 自我管理 AD | 
| --- | --- | --- | 
| 目錄 | Directory Service 您帳戶中的 目錄 | 您自己的 AD 網域 （內部部署、Amazon EC2 或其他雲端） | 
| Amazon RDS 使用的登入資料 | 具有 AmazonRDSDirectoryServiceAccess受管政策的 IAM 角色 | 存放在使用 AWS KMS 金鑰加密之 Secrets Manager 秘密中的 AD 網域服務帳戶 | 
| AWS CLI 參數 | --domain, --domain-iam-role-name | --domain-fqdn, --domain-ou, --domain-auth-secret-arn, --domain-dns-ips |