Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Hinzufügen Ihrer DB-Instance zu Ihrem selbstverwalteten Active Directory Gehen Sie wie folgt vor, um Ihre DB-Instance von RDS für SQL Server zu Ihrem selbstverwalteten AD hinzuzufügen: ## Schritt 1: Eine SQL Server-DB-Instance erstellen oder ändern Sie können die Konsole, die CLI oder die RDS-API verwenden, um eine RDS-für- SQL-Server-DB-Instance mit einer selbstverwalteten AD-Domain zu verknüpfen. Sie können dafür eine der folgenden Möglichkeiten auswählen: + Erstellen Sie eine neue SQL Server-DB-Instance mithilfe der Konsole, des CLI-Befehls [create-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-instance.html) oder der [CreateDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBInstance.html)-RDS-API-Operation. Detaillierte Anweisungen finden Sie unter [Erstellen einer Amazon-RDS-DB-Instance](USER_CreateDBInstance.md). + Ändern Sie eine vorhandene SQL Server-DB-Instance mithilfe der Konsole, des CLI-Befehls [modify-db-instance](https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-instance.html) oder der [ModifyDBInstance](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBInstance.html)-RDS-API-Operation. Detaillierte Anweisungen finden Sie unter [Ändern einer Amazon-RDS-DB-Instance](Overview.DBInstance.Modifying.md). + Stellen Sie mithilfe der Konsole, des CLI-Befehls [ restore-db-instance-from-db-snapshot oder des RDS-API-Vorgangs eine SQL Server-DB-Instance aus einem ](https://docs.aws.amazon.com/cli/latest/reference/rds/restore-db-instance-from-db-snapshot.html) DB-Snapshot wieder her. [ RestoreDBInstanceFromDBSnapshot ](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_RestoreDBInstanceFromDBSnapshot.html) Detaillierte Anweisungen finden Sie unter [Wiederherstellen auf eine DB-Instance](USER_RestoreFromSnapshot.md). + Stellen Sie mithilfe der Konsole, des CLI-Befehls restore-db-instance-to-point-in-Time oder des RDS-API-Vorgangs eine SQL Server-DB-Instance auf einen bestimmten Zeitpunkt wieder her. [https://docs.aws.amazon.com/cli/latest/reference/rds/restore-db-instance-to-point-in-time.html](https://docs.aws.amazon.com/cli/latest/reference/rds/restore-db-instance-to-point-in-time.html) [ RestoreDBInstanceToPointInTime ](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_RestoreDBInstanceToPointInTime.html) Detaillierte Anweisungen finden Sie unter [Wiederherstellen einer DB-Instance auf einen bestimmten Zeitpunkt für Amazon RDS](USER_PIT.md). Wenn Sie den verwenden, sind die folgenden Parameter erforderlich AWS CLI, damit die DB-Instance die von Ihnen erstellte selbstverwaltete AD-Domain verwenden kann: + Verwenden Sie für den Parameter `--domain-fqdn` den vollständig qualifizierten Domain-Namen (FQDN) Ihres selbstverwalteten AD. + Verwenden Sie für den Parameter `--domain-ou` die Organisationseinheit, die Sie in Ihrem selbstverwalteten AD erstellt haben. + Verwenden Sie für den Parameter `--domain-auth-secret-arn` den Wert des **Secret-ARN**, den Sie in einem vorherigen Schritt erstellt haben. + Verwenden Sie für den Parameter `--domain-dns-ips` die primären und sekundären IPv4-Adressen der DNS-Server für Ihr selbstverwaltetes AD. Wenn Sie keine sekundäre DNS-Server-IP-Adresse haben, geben Sie die primäre IP-Adresse zweimal ein. Die folgenden CLI-Beispielbefehle zeigen, wie Sie eine RDS-für-SQL-Server-DB-Instance mit einer selbstverwalteten AD-Domain erstellen, ändern und entfernen. **Wichtig** Wenn Sie eine DB-Instance ändern, um sie einer selbstverwalteten AD-Domain hinzuzufügen oder aus dieser zu entfernen, ist ein Neustart der DB-Instance erforderlich, damit die Änderung wirksam wird. Sie können wählen, ob Sie die Änderungen sofort übernehmen oder bis zum nächsten Wartungsfenster warten möchten. Wenn Sie die Option **Sofort anwenden** auswählen, führt dies bei einer Single-AZ-DB-Instance zu Ausfallzeiten. Eine Multi-AZ-DB-Instance führt ein Failover durch, bevor ein Neustart ausgeführt wird. Weitere Informationen finden Sie unter [Verwenden der Einstellung „Planen von Änderungen“](USER_ModifyInstance.ApplyImmediately.md). Mit dem folgenden CLI-Befehl wird eine neue RDS-für-SQL-Server-DB-Instance erstellt und einer selbstverwalteten AD-Domain hinzugefügt. Für Linux, macOS oder Unix: ``` aws rds create-db-instance \ --db-instance-identifier {{my-DB-instance}} \ --db-instance-class {{db.m5.xlarge}} \ --allocated-storage {{50}} \ --engine {{sqlserver-se}} \ --engine-version {{15.00.4043.16.v1}} \ --license-model {{license-included}} \ --master-username {{my-master-username}} \ --master-user-password {{my-master-password}} \ --domain-fqdn {{my_AD_domain.my_AD.my_domain}} \ --domain-ou {{OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain}} \ --domain-auth-secret-arn {{"arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456"}} \ --domain-dns-ips {{"10.11.12.13" "10.11.12.14"}} ``` Für Windows: ``` aws rds create-db-instance ^ --db-instance-identifier {{my-DB-instance}} ^ --db-instance-class {{db.m5.xlarge}} ^ --allocated-storage {{50}} ^ --engine {{sqlserver-se}} ^ --engine-version {{15.00.4043.16.v1}} ^ --license-model {{license-included}} ^ --master-username {{my-master-username}} ^ --master-user-password {{my-master-password}} ^ --domain-fqdn {{my-AD-test.my-AD.mydomain}} ^ --domain-ou {{OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain}} ^ --domain-auth-secret-arn {{"arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456" \}} ^ --domain-dns-ips {{"10.11.12.13" "10.11.12.14"}} ``` Mit dem folgenden CLI-Befehl wird eine vorhandene DB-Instance von RDS für SQL Server, so geändert, dass sie eine selbstverwaltete AD-Domain verwendet. Für Linux, macOS oder Unix: ``` aws rds modify-db-instance \ --db-instance-identifier {{my-DB-instance}} \ --domain-fqdn {{my_AD_domain.my_AD.my_domain}} \ --domain-ou {{OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain}} \ --domain-auth-secret-arn {{"arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456"}} \ --domain-dns-ips {{"10.11.12.13" "10.11.12.14"}} ``` Für Windows: ``` aws rds modify-db-instance ^ --db-instance-identifier {{my-DBinstance}} ^ --domain-fqdn {{my_AD_domain.my_AD.my_domain}} ^ --domain-ou {{OU=my-AD-test-OU,DC=my-AD-test,DC=my-AD,DC=my-domain}} ^ --domain-auth-secret-arn {{"arn:aws:secretsmanager:region:account-number:secret:my-AD-test-secret-123456"}} ^ --domain-dns-ips {{"10.11.12.13" "10.11.12.14"}} ``` Mit dem folgenden CLI-Befehl wird eine DB-Instance von RDS für SQL Server aus einer selbstverwalteten AD-Domain entfernt. Für Linux, macOS oder Unix: ``` aws rds modify-db-instance \ --db-instance-identifier {{my-DB-instance}} \ --disable-domain ``` Für Windows: ``` aws rds modify-db-instance ^ --db-instance-identifier {{my-DB-instance}} ^ --disable-domain ``` ## Schritt 2: Verwenden der Kerberos- oder NTLM-Authentifizierung ### NTLM-Authentifizierung Jede DB-Instance von Amazon RDS hat einen Endpunkt und jeder Endpunkt hat einen DNS-Namen und eine Portnummer für die DB-Instance. Um eine Verbindung mir Ihrer DB-Instance mit einer SQL-Client-Anwendung herzustellen, benötigen Sie den DNS-Namen und die Portnummer für Ihre DB-Instance. Um sich mithilfe der NTLM-Authentifizierung zu authentifizieren, müssen Sie eine Verbindung zum RDS-Endpunkt oder zum Listener-Endpunkt herstellen, wenn Sie eine Bereitstellung verwenden. Multi-AZ Bei einer geplanten Datenbankwartung oder einer nicht geplanten Serviceunterbrechung erfolgt ein automatisches Failover von Amazon RDS zur aktuellen sekundären Datenbank, damit Vorgänge schnell und ohne manuelles Eingreifen fortgesetzt werden können. Die primären und sekundären Instances verwenden denselben Endpunkt, dessen physische Netzwerkadresse als Teil des Failover-Prozesses an das sekundäre Replikat übergeben wird. Sie müssen Ihre Anwendung nicht neu konfigurieren, wenn ein Failover auftritt. ### Kerberos-Authentifizierung Kerberos-based Für die Authentifizierung für RDS für SQL Server müssen Verbindungen zu einem bestimmten Service Principal Name (SPN) hergestellt werden. Nach einem Failover-Ereignis ist der Anwendung der neue SPN jedoch möglicherweise nicht bekannt. Um dieses Problem zu lösen, bietet RDS für SQL Server einen Kerberos-based Endpunkt. Der Kerberos-based Endpunkt folgt einem bestimmten Format. Wenn Ihr RDS-Endpunkt ist`{{rds-instance-name}}.{{account-region-hash}}.{{aws-region}}.rds.amazonaws.com`, wäre der entsprechende Kerberos-based Endpunkt`{{rds-instance-name}}.{{account-region-hash}}.{{aws-region}}.awsrds.{{fully qualified domain name (FQDN)}}`. Wenn zum Beispiel der RDS-Endpunkt `ad-test.cocv6zwtircu.us-east-1.rds.amazonaws.com` und der Domainname lautet`corp-ad.company.com`, wäre `ad-test.cocv6zwtircu.us-east-1.awsrds.corp-ad.company.com` der Kerberos-based Endpunkt Dieser Kerberos-based Endpunkt kann auch nach einem Failover-Ereignis zur Authentifizierung bei der SQL Server-Instanz mithilfe von Kerberos verwendet werden, da der Endpunkt automatisch aktualisiert wird und auf den neuen SPN der primären SQL Server-Instanz verweist. ### Auffinden Ihres CNAME Um Ihren CNAME zu finden, stellen Sie eine Verbindung zu Ihrem Domain-Controller her und öffnen Sie den **DNS-Manager**. Navigieren Sie zu **Forward-Lookup-Zonen** und Ihrem FQDN. Navigieren Sie durch **awsrds**, **aws-region** und **account and region specific hash**. ![Ändern Sie die Speichermenge für eine DB-Instance.](https://docs.aws.amazon.com/de_de/AmazonRDS/latest/UserGuide/images/kerb-endpoint-selfManagedAD-RDSMS.png) Wenn nach der Verbindung mit CNAME vom Remote-Client aus eine NTLM-Verbindung zurückgegeben wird, überprüfen Sie, ob die erforderlichen Ports auf der Zulassungsliste stehen. Wenn Sie überprüfen möchten, ob Ihre Verbindung Kerberos verwendet, führen Sie die folgende Abfrage aus: ``` SELECT net_transport, auth_scheme FROM sys.dm_exec_connections WHERE session_id = @@SPID; ``` Wenn Ihre Instance beim Herstellen einer Verbindung zu einem Kerberos-Endpunkt eine NTLM-Verbindung zurückgibt, überprüfen Sie Ihre Netzwerk- und Benutzerkonfigurationen. Siehe [Konfigurieren Ihrer Netzwerkkonnektivität](USER_SQLServer_SelfManagedActiveDirectory.Requirements.md#USER_SQLServer_SelfManagedActiveDirectory.Requirements.NetworkConfig). ## Schritt 3: Erstellen Sie SQL Server-Logins mit Windows-Authentifizierung Verwenden Sie die Anmeldeinformationen für den Amazon-RDS-Masterbenutzer, um eine Verbindung zur SQL-Server-DB-Instance herzustellen, wie Sie es bei jeder anderen DB-Instance tun würden. Da die DB-Instance der selbstverwalteten AD-Domain hinzugefügt wurde, können Sie SQL-Server-Anmeldungen und -Benutzer bereitstellen. Sie tun dies über das AD-Dienstprogramm für Benutzer und Gruppen in Ihrer selbstverwalteten AD-Domain. Datenbankberechtigungen werden über die Standard-SQL-Server-Berechtigungen verwaltet, die für die Windows-Anmeldungen gewährt und widerrufen werden. Damit sich ein selbstverwaltetes AD-Domänendienstkonto bei SQL Server authentifizieren kann, muss eine SQL Server-Windows-Anmeldung für das selbstverwaltete AD-Domänendienstkonto oder eine selbstverwaltete AD-Gruppe, der der Benutzer angehört, vorhanden sein. Fine-grained Die Zugriffskontrolle erfolgt durch das Erteilen und Widerrufen von Berechtigungen für diese SQL Server-Anmeldungen. Ein Domain-Servicekonto des selbstverwalteten AD, das über keine SQL-Server-Anmeldung verfügt oder zu keiner Gruppe des selbstverwalteten AD mit einer solchen Anmeldung gehört, kann nicht auf die DB-Instance von SQL Server zugreifen. Die Berechtigung ALTER ANY LOGIN ist erforderlich, um eine SQL-Server-Anmeldung für das selbstverwaltete AD zu erstellen. Wenn Sie mit dieser Berechtigung noch keine Anmeldungen erstellt haben, verbinden Sie sich mithilfe der SQL-Server-Authentifizierung als Masterbenutzer der DB-Instance und erstellen Sie Ihre SQL-Server-Anmeldungen für das selbstverwaltete AD im Kontext des Masterbenutzers. Sie können einen Data Definition Language (DDL)-Befehl wie im Folgenden dargestellt ausführen, um eine SQL-Server-Anmeldung für ein Domain-Servicekonto des selbstverwalteten AD oder eine entsprechende Gruppe zu erstellen. **Anmerkung** Geben Sie Benutzer und Gruppen unter Verwendung des Anmeldenamens von Windows 2000 im Format a `{{my_AD_domain}}\{{my_AD_domain_user}}`. Sie können keinen User Principle Name (UPN) im Format verwenden {{`my_AD_domain_user`}}`@`{{`my_AD_domain`}}. ``` USE [master] GO CREATE LOGIN [{{my_AD_domain}}\{{my_AD_domain_user}}] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english]; GO ``` **Anmerkung** Wenn Sie einen Active Directory-Benutzer löschen und einen neuen Benutzer mit demselben `sAMAccountName` Benutzer erstellen und dann `CREATE LOGIN [DOMAIN\username] FROM WINDOWS` auf Ihrer RDS for SQL Server-Instanz ausführen, wird die Anmeldung möglicherweise mit der SID des gelöschten Benutzers statt mit der SID des neuen Benutzers erstellt, was zu Fehlern bei der Windows-Authentifizierung führt. Dies liegt daran, dass der RDS-Host Name-SID-Zuordnungen auf Betriebssystemebene zwischenspeichert und Kunden nicht direkt auf diesen Cache zugreifen können. Um dieses Problem zu vermeiden, verwenden Sie `sAMAccountName` für jeden Bereitstellungszyklus einen eindeutigen Wert (z. B. indem Sie einen Zeitstempel oder ein Versionssuffix anhängen). Wenn Sie denselben Namen wiederverwenden müssen, führen Sie ihn `DBCC FREESYSTEMCACHE('TokenAndPermUserStore')` nach der Neuerstellung des AD-Benutzers aus, warten Sie dann bis zu 10 Minuten (damit der OS-level Cache aktualisiert werden kann, da dieses Intervall auf von RDS verwalteten Instances nicht konfigurierbar ist) und überprüfen Sie, ob die erwartete SID `SUSER_SID('DOMAIN\username')` zurückgegeben wird, bevor Sie die Anmeldung erstellen. Weitere Informationen finden Sie unter [ CREATE LOGIN (Transact-SQL) ](https://msdn.microsoft.com/en-us/library/ms189751.aspx) in der Microsoft Developer Network-Dokumentation. Benutzer (sowohl menschliche Benutzer als auch Anwendungen) aus Ihrer Domain können sich nun von einem einer selbstverwalteten AD-Domain hinzugefügten Client-Computer mithilfe der Windows-Authentifizierung mit der RDS-für-SQL-Server-Instance verbinden.