ApsaraDB RDS:Join an RDS for SQL Server instance to a self-managed domain

Contexto

O Microsoft Active Directory (AD) é um service de diretório desenvolvido pela Microsoft para seus produtos, incluindo Windows Standard Server, Windows Enterprise Server e Microsoft SQL Server. Um diretório é uma estrutura hierárquica que armazena informações sobre objetos em uma rede. Por exemplo, o AD armazena dados de contas de usuário, como nomes, senhas e números de telefone, e permite que outros usuários autorizados na mesma rede acessem essas informações.

Como parte essencial do ecossistema Microsoft, o suporte ao AD é um requisito fundamental para grandes empresas que migram para a cloud.

O ApsaraDB RDS for SQL Server permite associar uma instância a um domínio auto-gerenciado para complementar seu ecossistema de negócios.

Pré-requisitos

Sua instância do ApsaraDB RDS for SQL Server deve atender aos seguintes requisitos:

• Especificações da instância: Uso geral, Dedicada (não suporta o tipo Shared)

• Método de faturamento: assinatura ou pagamento conforme o uso (não suportado para Serverless instances)

• Conta: É necessária uma conta Alibaba Cloud.

Preparativos

• Implantar um controlador de domínio

  • Sistema operacional: O controlador de domínio deve rodar no Windows Server. A versão mínima suportada é o Windows Server 2012 R2. Recomendamos o uso do Windows Server 2016 ou superior. Este tópico usa o Windows Server 2016 English Edition como exemplo.

  • Configuração de DNS: O controlador de domínio também deve funcionar como servidor dns, e seu endereço IP deve ser idêntico ao endereço do servidor dns.

  • Requisitos de permissão: A conta de domínio usada para associar a instância do RDS ao domínio deve pertencer ao grupo Domain Admins. Isso é necessário porque os clientes exigem permissões elevadas para ingressar ativamente em um domínio.

• Garantir conectividade de rede: A instância do RDS e o controlador de domínio precisam ter conectividade de rede bidirecional. O controlador de domínio pode estar localizado em qualquer lugar, inclusive em uma instância ECS da Alibaba Cloud, em outra plataforma cloud ou em um data center on-premises.

  Exemplo de configuração (uma instância ECS hospeda o controlador de domínio):

  • Recomendamos colocar a instância do RDS e a instância ECS na mesma VPC para simplificar a configuração de rede. Esse requisito não é obrigatório.

  • Configure o grupo de segurança da instância ECS para permitir tráfego proveniente do endereço IP privado da instância do RDS. Para mais informações, consulte Add a security group rule.

  • Se o firewall do sistema estiver ativado na instância ECS, permita também o tráfego originado do endereço IP privado da instância do RDS.

Considerações

Ingressar ou sair de um domínio AD exige a reinicialização do sistema operacional Windows. Para evitar interrupções no service, recomendamos realizar essa operação fora dos horários de pico.

Limitações

Não é possível execute as seguintes operações em uma instância associada a um domínio AD: upgrading the major engine version, upgrading the minor engine version ou migrating the instance to another zone.

Etapa 1: Configure o controlador de domínio

1. Faça logon no console do ECS.

2. No painel de navegação à esquerda, escolha Instances & Images > Instance.

3. No canto superior esquerdo da página, selecione uma região e um grupo de recursos.

4. Na página Instances, clique em no ID da instância desejada.

5. Conecte-se remotamente ao sistema operacional Windows Server 2016 da instância ECS.

6. Pesquise e abra o Server Manager.

7. Clique em Add roles and features e defina as configurações a seguir.

   Página	Configurações
   Installation Type	Mantenha as configurações padrão.
   Server Selection	Mantenha as configurações padrão.
   Server Roles	Selecione Active Directory Domain Services e clique em Add Features na caixa de diálogo exibida. Selecione DNS Server e clique em Add Features na caixa de diálogo exibida. Se uma mensagem indicar que o computador não possui um endereço IP estático, recomendamos alterá-lo para um IP estático. Isso evita que o servidor dns fique indisponível caso o endereço IP mude automaticamente.
   Features	Mantenha as configurações padrão.
   AD DS	Mantenha as configurações padrão.
   DNS Server	Mantenha as configurações padrão.
   Confirmation	Clique em Install.

8. Após a conclusão da instalação, clique em Close.

9. No painel de navegação à esquerda, clique em AD DS. No canto superior direito, clique em More.

10. Clique em Promote this server to a domain... e defina as configurações a seguir.

    Página	Configurações
    Deployment Configuration	Selecione Add a new forest. No campo Root domain name, insira testdomain.net.
    Domain Controller Options	Defina a senha do Directory Services Restore Mode (DSRM). Defina tanto o Forest functional level quanto o Domain functional level como Windows Server 2016. Marque as caixas de seleção Domain Name System (DNS) server e Global Catalog (GC). Na seção Type the Directory Services Restore Mode (DSRM) password, insira e confirme a senha de recuperação.
    DNS Options	Desmarque a opção Create DNS delegation removendo o √.
    Additional Options	Mantenha as configurações padrão.
    Paths	Mantenha as configurações padrão.
    Review Options	Mantenha as configurações padrão.
    Prerequisites Check	Clique em Install. Nota O sistema reinicia automaticamente após a conclusão da instalação.

11. Após a reinicialização do sistema, pesquise e abra o Server Manager novamente.

12. No painel de navegação à esquerda, clique em AD DS. No painel à direita, clique com o botão direito no controlador de domínio desejado e selecione Active Directory Users and Computers.

13. Clique com o botão direito em testdomain.net > Users e selecione New > User.

14. Defina o nome de logon do usuário e clique em Next.

    No campo Full name, insira testuser. No campo User logon name, insira testuser e selecione @testdomain.net na lista suspensa.

15. Defina a senha do usuário, configure-a para nunca expirar, clique em Next e depois em Finish para crie o usuário.

    Nos campos Password e Confirm password, insira uma senha. Marque a caixa de seleção Password never expires e clique em Next. Na página de confirmação, clique em Finish.

16. Clique duas vezes no usuário recém-criado e adicione-o ao grupo Domain Admins.

    Na caixa de diálogo de propriedades do usuário, clique na aba Member Of e em Add. Na caixa de diálogo Select Groups, insira Domain Admins, clique em Check Names para validar o nome e, em seguida, clique em OK.

Etapa 2: Configure o grupo de segurança

1. Faça logon no console do ECS.

2. No painel de navegação à esquerda, escolha Instances & Images > Instance.

3. No canto superior esquerdo da página, selecione uma região e um grupo de recursos.

4. Na página Instances, clique em no ID da instância desejada.

5. Na barra de navegação superior, clique em Security Group. Em seguida, na coluna Actions do grupo de segurança, clique em Manage Rules.

6. Na aba Inbound, clique em Add Rule para permitir acesso à instância ECS nas portas listadas abaixo.

   Tipo de protocolo	Intervalo de portas	Descrição
   TCP	88	Porta do protocolo de autenticação Kerberos.
   TCP	135	Porta do protocolo Remote Procedure Call (RPC).
   TCP/UDP	389	Porta do Lightweight Directory Access Protocol (LDAP).
   TCP	445	Porta do protocolo Common Internet File System (CIFS).
   TCP	3268	Porta do Global Catalog.
   TCP/UDP	53	Porta dns.
   TCP	49152-65535	Intervalo dinâmico padrão de portas para conexões. Insira o intervalo como 49152/65535.

Etapa 3: Configure os services de domínio AD

1. Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância do RDS está localizada. Localize a instância do RDS e clique em no respectivo ID.

2. No painel de navegação à esquerda, clique em Accounts.

3. Clique em na aba AD Domain Services e, em seguida, clique em Configure AD Domain Services.

4. Na caixa de diálogo Configure AD Domain Services, defina os parâmetros abaixo e marque a opção I have read and understand the impact of AD Domain Services on the RDS Service Level Agreement.

   Aviso

   Após ative e configure o recurso de AD, crie contas no domínio AD auto-gerenciado e conceda a elas permissões para fazer logon na instância do ApsaraDB RDS for SQL Server e execute operações de banco de dados.

   No entanto, as permissões de superusuário (System Admin) ou de contas de host criadas por meio do domínio AD auto-gerenciado estão fora do controle do RDS. Portanto, a Alibaba Cloud não pode garantir o SLA para instâncias do RDS com tais contas.

   Parâmetro	Descrição
   Domain Name	Nome de domínio especificado na página Deployment Configuration durante a criação do Active Directory. Neste exemplo, o nome de domínio é testdomain.net.
   Directory IP Address	Endereço IP da instância ECS que hospeda o controlador de domínio. Esse IP pode ser encontrado no console do ECS, na página de detalhes da instância. Na seção Network Information, localize o Primary Private IP. Alternativamente, execute o comando ipconfig na instância ECS.
   Domain Account	Nome de usuário criado anteriormente.
   Domain Password	Senha da conta de domínio.

5. Clique em OK e aguarde a conclusão da configuração do domínio AD.

Operações relacionadas

Utilize as operações de API a seguir para visualize, modifique ou remover a associação ao domínio AD:

• DescribeADInfo: Consulta as informações do domínio AD de uma instância do ApsaraDB RDS for SQL Server.

• ModifyADInfo: Modifica a configuração do domínio AD de uma instância do ApsaraDB RDS for SQL Server.

• DeleteADSetting: Exclui as configurações do domínio AD de uma instância do ApsaraDB RDS for SQL Server.

Perguntas frequentes