[アップデート] RDS for SQL ServerをセルフマネージドなActive Directoryドメインに参加させた場合においてKerberos認証がサポートされました

# Windows機能の追加
Add-WindowsFeature AD-Domain-Services, GPMC, RSAT-ADDS, RSAT-AD-PowerShell, RSAT-DNS-Server | Format-List

# ドメイン作成＋再起動
Import-Module ADDSDeployment
$params = @{
    DomainName        = 'corp.contoso.com';
    DomainNetbiosName = 'CORP';
    ForestMode        = 'WinThreshold';
    DomainMode        = 'WinThreshold';
    DatabasePath      = 'C:\Windows\NTDS';
    LogPath           = 'C:\Windows\NTDS';
    SysvolPath        = 'C:\Windows\SYSVOL';
    SafeModeAdministratorPassword = (ConvertTo-SecureString 'P@ssword' -AsPlainText -Force);
    InstallDns           = $true;
    CreateDnsDelegation  = $false;
    NoRebootOnCompletion = $false;
    Confirm = $false;
}
Install-ADDSForest @params

# RDSInstances という専用OUを用意
New-ADOrganizationalUnit -Name 'RDSInstances' -Path 'DC=corp,DC=contoso,DC=com'

# rdssql ユーザーを作成
$params = @{
    Name                 = 'rdssql';
    UserPrincipalName    = 'rdssql@corp.contoso.com';
    Description          = 'RDS for SQL Server service user';
    AccountPassword      = ConvertTo-SecureString -AsPlainText 'P@ssword' -Force;
    Enabled              = $true;
    PasswordNeverExpires = $true;
}
New-ADUser @params

次の Active Directory フォルダー内のオブジェクトの
制御を委任することを選択しました:

    corp.contoso.com/RDSInstances

制御を与えたグループ、ユーザー、または
コンピューター:

    rdssql (rdssql@corp.contoso.com)

次のアクセス許可が与えられています:

    DNS ホスト名への検証された書き込み
    サービス プリンシパル名への検証された書き込み
    servicePrincipalName の書き込み

次のオブジェクトの種類:

    コンピューター

# KMSキー作成 : rds-for-sql-server-self-managed-ad-2
#  * 対称キー
#  * 使用法は「暗号化および復号化」
#  * KMSオリジン
#  * シングルリージョンキー
kms_key_id=$(aws kms create-key --description 'Key for RDS for SQL Server with self managed AD' \
    --key-usage 'ENCRYPT_DECRYPT' \
    --origin 'AWS_KMS' \
    --no-multi-region \
    --query 'KeyMetadata.KeyId' \
    --output text)
echo $kms_key_id 
# エイリアスの割り当て
aws kms create-alias --alias-name 'alias/rds-for-sql-server-self-managed-ad-2' \
    --target-key-id $kms_key_id

# 権限の追加 : 環境に応じて要カスタマイズ
key_policy=$(cat << EOF
{
  "Version": "2012-10-17",
  "Id": "key-default-1",
  "Statement": [
    {
      "Sid": "Enable IAM User Permissions",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::$(aws sts get-caller-identity --query 'Account' --output text):root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
        "Sid": "Allow use of the KMS key on behalf of RDS",
        "Effect": "Allow",
        "Principal": {
            "Service": [
                "rds.amazonaws.com"
            ]
        },
        "Action": "kms:Decrypt",
        "Resource": "*"
    }
  ]
}
EOF
)
aws kms put-key-policy --key-id $kms_key_id --policy "$key_policy"

# RDS for SQL Server用のシークレットを作成
#  * KMSキーに前項で作成した鍵を指定
aws secretsmanager create-secret \
    --name "rds-for-sql-server-self-managed-ad-2" \
    --description "Secrets for RDS for SQL Server with self managed AD" \
    --secret-string "{\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_USERNAME\":\"rdssql@corp.contoso.com\",\"CUSTOMER_MANAGED_ACTIVE_DIRECTORY_PASSWORD\":\"P@ssword\"}" \
    --kms-key-id $kms_key_id

# 環境に応じてリソースポリシーはカスタマイズしてください
account_id=$(aws sts get-caller-identity --query 'Account' --output text)
resource_policy=$(cat << EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rds.amazonaws.com"
            },
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:sourceAccount": "$account_id"
                },
                "ArnLike": {
                    "aws:sourceArn": "arn:aws:rds:ap-northeast-1:$account_id:db:*"
                }
            }
        }
    ]
}
EOF
)
aws secretsmanager put-resource-policy \
    --secret-id "rds-for-sql-server-self-managed-ad-2" \
    --resource-policy "$resource_policy" \
    --block-public-policy

# nslookup コマンドでレコードを確認
PS C:\> nslookup testdb.xxxxxxxxxxxx.ap-northeast-1.awsrds.corp.contoso.com
サーバー:  localhost
Address:  ::1

名前:    EC2AMAZ-UD2HTRU.corp.contoso.com
Address:  10.0.21.20
Aliases:  testdb.xxxxxxxxxxxx.ap-northeast-1.awsrds.corp.contoso.com

# SQL Server (MSSQLSvc) 用SPNを検索
PS C:\> setspn -T * -F -Q MSSQLSvc/*
フォレスト DC=corp,DC=contoso,DC=com を確認しています
CN=EC2AMAZ-UD2HTRU,OU=RDSInstances,DC=corp,DC=contoso,DC=com
        MSSQLSvc/EC2AMAZ-UD2HTRU.corp.contoso.com:1433
        MSSQLSvc/EC2AMAZ-UD2HTRU.corp.contoso.com
        MSServerClusterMgmtAPI/EC2AMAZ-UD2HTRU
        MSServerClusterMgmtAPI/EC2AMAZ-UD2HTRU.corp.contoso.com
        TERMSRV/EC2AMAZ-UD2HTRU
        TERMSRV/EC2AMAZ-UD2HTRU.corp.contoso.com
        WSMAN/EC2AMAZ-UD2HTRU
        WSMAN/EC2AMAZ-UD2HTRU.corp.contoso.com
        RestrictedKrbHost/EC2AMAZ-UD2HTRU
        HOST/EC2AMAZ-UD2HTRU
        RestrictedKrbHost/EC2AMAZ-UD2HTRU.corp.contoso.com
        HOST/EC2AMAZ-UD2HTRU.corp.contoso.com

# デフォルトのエンドポイントに対する接続 : NTLM認証
sqlcmd -S testdb.xxxxxxxxxxxx.ap-northeast-1.rds.amazonaws.com -H "from ADDS (default endpoint)"
# 新しい別名に対する接続 : Kerberos認証
sqlcmd -S testdb.xxxxxxxxxxxx.ap-northeast-1.awsrds.corp.contoso.com -H "from ADDS (new CNAME)"