ApsaraDB RDS:Joindre une instance RDS for SQL Server à un domaine géré en interne

Contexte

Microsoft Active Directory (AD) est un service d'annuaire développé par Microsoft pour ses produits, notamment Windows Standard Server, Windows Enterprise Server et Microsoft SQL Server. Un annuaire est une structure hiérarchique qui stocke des informations sur les objets présents sur un réseau. Par exemple, AD conserve les détails des comptes utilisateurs, tels que les noms, les mots de passe et les numéros de téléphone, et permet aux autres utilisateurs autorisés du même réseau d'accéder à ces informations.

En tant que composant essentiel de l'écosystème Microsoft, la prise en charge d'AD constitue une exigence fondamentale pour les grandes entreprises lors de leur migration vers le cloud.

ApsaraDB RDS for SQL Server vous permet de joindre une instance à un domaine géré en interne afin de compléter votre écosystème métier.

Prérequis

Votre instance ApsaraDB RDS for SQL Server doit satisfaire aux exigences suivantes :

• Spécifications de l'instance : General-purpose, Dedicated (le type Shared n'est pas pris en charge)

• Méthode de facturation : abonnement ou paiement à l'utilisation (non pris en charge pour les instances Serverless)

• Compte : un compte Alibaba Cloud est requis.

Préparatifs

• Déployer un contrôleur de domaine

  • Système d'exploitation : le contrôleur de domaine doit s'exécuter sur Windows Server. La version minimale prise en charge est Windows Server 2012 R2. Nous vous recommandons d'utiliser Windows Server 2016 ou une version ultérieure. Cette rubrique utilise Windows Server 2016 Édition anglaise comme exemple.

  • Configuration DNS : le contrôleur de domaine doit également fonctionner comme serveur DNS, et son adresse IP doit correspondre à celle du serveur DNS.

  • Exigences en matière d'autorisations : le compte de domaine utilisé pour joindre l'instance RDS au domaine doit être membre du groupe Domain Admins. En effet, les clients nécessitent des autorisations de niveau élevé pour rejoindre activement un domaine.

• Garantir la connectivité réseau : l'instance RDS et le contrôleur de domaine doivent disposer d'une connectivité réseau bidirectionnelle. Le contrôleur de domaine peut se trouver n'importe où, y compris sur une instance ECS Alibaba Cloud, sur une autre plateforme cloud ou dans un centre de données sur site.

  Exemple de configuration (une instance ECS est utilisée pour héberger le contrôleur de domaine) :

  • Nous vous recommandons de placer l'instance RDS et l'instance ECS dans le même VPC afin de simplifier la configuration réseau. Cette mesure n'est pas obligatoire.

  • Configurez le groupe de sécurité de l'instance ECS pour autoriser le trafic provenant de l'adresse IP privée de l'instance RDS. Pour plus d'informations, consultez la rubrique Ajouter une règle de groupe de sécurité.

  • Si vous avez activé le pare-feu système sur l'instance ECS, autorisez également le trafic provenant de l'adresse IP privée de l'instance RDS.

Points à considérer

L'ajout ou le retrait d'un domaine AD nécessite un redémarrage du système d'exploitation Windows. Afin d'éviter toute interruption de service, nous vous recommandons d'effectuer cette opération pendant les heures creuses.

Limites

Vous ne pouvez pas effectuer les opérations suivantes sur une instance jointe à un domaine AD : mise à niveau de la version majeure du moteur, mise à niveau de la version mineure du moteur ni migration de l'instance vers une autre zone.

Étape 1 : Configurer le contrôleur de domaine

1. Connectez-vous à la console ECS.

2. Dans le volet de navigation de gauche, sélectionnez Instances & Images > Instance.

3. Dans le coin supérieur gauche de la page, sélectionnez une région et un groupe de ressources.

4. Sur la page Instances, cliquez sur l'ID de l'instance cible.

5. Établissez une connexion distante au système d'exploitation Windows Server 2016 de l'instance ECS.

6. Recherchez et ouvrez Server Manager.

7. Cliquez sur Add roles and features et configurez les paramètres suivants.

   Page	Paramètres
   Installation Type	Conservez les paramètres par défaut.
   Server Selection	Conservez les paramètres par défaut.
   Server Roles	Sélectionnez Active Directory Domain Services, puis cliquez sur Add Features dans la boîte de dialogue qui s'affiche. Sélectionnez DNS Server, puis cliquez sur Add Features dans la boîte de dialogue qui s'affiche. Si un message indique que votre ordinateur ne dispose pas d'une adresse IP statique, nous vous recommandons de la modifier en adresse IP statique. Cela empêche le serveur DNS de devenir indisponible si l'adresse IP change automatiquement.
   Features	Conservez les paramètres par défaut.
   AD DS	Conservez les paramètres par défaut.
   DNS Server	Conservez les paramètres par défaut.
   Confirmation	Cliquez sur Install.

8. Une fois l'installation terminée, cliquez sur Close.

9. Dans le volet de navigation de gauche, cliquez sur AD DS. Dans le coin supérieur droit, cliquez sur More.

10. Cliquez sur Promote this server to a domain... et configurez les paramètres suivants.

    Page	Paramètres
    Deployment Configuration	Sélectionnez Add a new forest. Dans le champ Root domain name, saisissez testdomain.net.
    Domain Controller Options	Définissez le mot de passe du mode de restauration des services d'annuaire (DSRM). Définissez les niveaux Forest functional level et Domain functional level sur Windows Server 2016. Cochez les cases Domain Name System (DNS) server et Global Catalog (GC). Dans la section Type the Directory Services Restore Mode (DSRM) password, saisissez et confirmez le mot de passe de récupération.
    DNS Options	Décochez l'option Create DNS delegation (√).
    Additional Options	Conservez les paramètres par défaut.
    Paths	Conservez les paramètres par défaut.
    Review Options	Conservez les paramètres par défaut.
    Prerequisites Check	Cliquez sur Install. Remarque Le système redémarre automatiquement une fois l'installation terminée.

11. Après le redémarrage du système, recherchez et ouvrez à nouveau Server Manager.

12. Dans le volet de navigation de gauche, cliquez sur AD DS. Dans le volet de droite, cliquez avec le bouton droit sur le contrôleur de domaine cible et sélectionnez Active Directory Users and Computers.

13. Cliquez avec le bouton droit sur testdomain.net > Users, puis sélectionnez New > User.

14. Définissez le nom de connexion de l'utilisateur et cliquez sur Next.

    Dans le champ Full name, saisissez testuser. Dans le champ User logon name, saisissez testuser et sélectionnez @testdomain.net dans la liste déroulante.

15. Définissez le mot de passe de l'utilisateur, configurez-le pour qu'il n'expire jamais, puis cliquez sur Next et Finish pour créer l'utilisateur.

    Dans les champs Password et Confirm password, saisissez un mot de passe. Cochez la case Password never expires, puis cliquez sur Next. Sur la page de confirmation, cliquez sur Finish.

16. Double-cliquez sur l'utilisateur nouvellement créé et ajoutez-le au groupe Domain Admins.

    Dans la boîte de dialogue des propriétés de l'utilisateur, cliquez sur l'onglet Member Of et cliquez sur Add. Dans la boîte de dialogue Select Groups, saisissez Domain Admins, cliquez sur Check Names pour vérifier le nom, puis cliquez sur OK.

Étape 2 : Configurer le groupe de sécurité

1. Connectez-vous à la console ECS.

2. Dans le volet de navigation de gauche, sélectionnez Instances & Images > Instance.

3. Dans le coin supérieur gauche de la page, sélectionnez une région et un groupe de ressources.

4. Sur la page Instances, cliquez sur l'ID de l'instance cible.

5. Dans la barre de navigation supérieure, cliquez sur Security Group. Ensuite, dans la colonne Actions du groupe de sécurité, cliquez sur Manage Rules.

6. Sur l'onglet Inbound, cliquez sur Add Rule pour autoriser l'accès à l'instance ECS sur les ports suivants.

   Type de protocole	Plage de ports	Description
   TCP	88	Port du protocole d'authentification Kerberos.
   TCP	135	Port du protocole Remote Procedure Call (RPC).
   TCP/UDP	389	Port Lightweight Directory Access Protocol (LDAP).
   TCP	445	Port du protocole Common Internet File System (CIFS).
   TCP	3268	Port Global Catalog.
   TCP/UDP	53	Port DNS.
   TCP	49152-65535	Plage de ports dynamiques par défaut pour les connexions. Saisissez la plage de ports sous la forme 49152/65535.

Étape 3 : Configurer les services de domaine AD

1. Accédez à la page Instances. Dans la barre de navigation supérieure, sélectionnez la région dans laquelle réside l'instance RDS. Recherchez ensuite l'instance RDS et cliquez sur son ID.

2. Dans le volet de navigation de gauche, cliquez sur Accounts.

3. Cliquez sur l'onglet AD Domain Services, puis cliquez sur Configure AD Domain Services.

4. Dans la boîte de dialogue Configure AD Domain Services, définissez les paramètres suivants, puis cochez la case I have read and understand the impact of AD Domain Services on the RDS Service Level Agreement.

   Avertissement

   Une fois la fonctionnalité AD activée et configurée, vous pouvez créer des comptes dans votre domaine AD géré en interne et leur accorder les autorisations nécessaires pour se connecter à l'instance ApsaraDB RDS for SQL Server et effectuer des opérations sur les bases de données.

   Toutefois, les autorisations des comptes superutilisateur (System Admin) ou hôte créés via votre domaine AD géré en interne échappent au contrôle de RDS. Par conséquent, Alibaba Cloud ne peut pas garantir le SLA pour les instances RDS utilisant de tels comptes.

   Paramètre	Description
   Domain Name	Le nom de domaine que vous avez spécifié sur la page Deployment Configuration lors de la création de l'Active Directory. Dans cet exemple, le nom de domaine est testdomain.net.
   Directory IP Address	L'adresse IP de l'instance ECS qui héberge le contrôleur de domaine. Vous pouvez trouver cette adresse IP dans la console ECS, sur la page des détails de l'instance. Dans la section Network Information, repérez l'Primary Private IP. Vous pouvez également exécuter la commande ipconfig sur l'instance ECS.
   Domain Account	Le nom d'utilisateur que vous avez créé précédemment.
   Domain Password	Le mot de passe du compte de domaine.

5. Cliquez sur OK et attendez que la configuration du domaine AD soit terminée.

Opérations associées

Vous pouvez utiliser les opérations d'API suivantes pour afficher, modifier ou supprimer l'association au domaine AD :

• DescribeADInfo : interroge les informations du domaine AD d'une instance ApsaraDB RDS for SQL Server.

• ModifyADInfo : modifie la configuration du domaine AD d'une instance ApsaraDB RDS for SQL Server.

• DeleteADSetting : supprime les paramètres du domaine AD d'une instance ApsaraDB RDS for SQL Server.

FAQ