Amazon RDS for SQL Server インスタンスのオンプレミスの Active Directory における "Login Failed" エラーをトラブルシューティングする方法を教えてください。

所要時間2分

オンプレミスの Active Directory ログインを使用して Amazon Relational Database Service (Amazon RDS) for Microsoft SQL Server にアクセスできません。

簡単な説明

Amazon RDS で Windows 認証をセットアップするときに、フォレストの信頼を作成する必要があります。このフォレストの信頼は、AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) を使用して作成されます。フォレストの信頼は、オンプレミスを使用するかセルフホストの AWS Managed Microsoft AD を使用するかにかかわらず設定されます。

信頼関係を設定し、オンプレミスの認証情報を使用してログインしようとすると、次のエラーが表示される場合があります。

"Login Failed.The Login is From an Untrusted Domain and Cannot be Used with Windows Authentication"

解決策

Active Directory ログインエラーのトラブルシューティングを行うには、以下を確認してください。

Amazon RDS ドメインステータス

DB インスタンスを作成または変更すると、インスタンスはドメインのメンバーになります。Aurora と RDS コンソールには、DB インスタンスのドメインメンバーシップのステータスが表示されます。DB インスタンスのステータスの詳細については、「ドメインのメンバーシップを理解する」を参照してください。

DB インスタンスをドメインに参加させたときに "Failed" エラーが表示された場合は、追加のトラブルシューティングが必要になる場合があります。詳細については、「AWS Managed Microsoft AD で Amazon RDS for SQL Server Windows 認証に関する問題が発生した場合のトラブルシューティング方法を教えてください」を参照してください。

デフォルトの IAM ロール rds-directoryservice-access-role ではなく、カスタムの AWS Identity and Access Management (IAM) ロールを使用すると、IAM エラーが発生することがあります。このエラーを解決するには、デフォルトポリシー AmazonRDSDirectoryServiceAccess をアタッチしてエラーを解決する必要があります。

信頼関係

AWS Managed Microsoft AD とオンプレミスディレクトリとの間には、一方向および双方向の外部およびフォレストの信頼関係を設定できます。また、AWS クラウド内の複数の AWS Managed Microsoft AD 間で、一方向および双方向の外部およびフォレストの信頼関係を設定することもできます。AWS Managed Microsoft AD は、受信方向、発信方向、および双方向の信頼関係をサポートしています。オンプレミスログインを使用して Aurora と RDS コンソールにアクセスするには、信頼ステータスが検証済み状態であることを確認してください。詳細については、「Create, verify, or delete a trust relationship」(信頼関係を作成、検証、または削除する) を参照してください。

フォレスト全体にわたる認証と選択的認証

AWS Directory Service コンソールを使用してフォレストの信頼を作成するときに、選択的認証を有効にできます。このオプションがオンになっていない場合、デフォルトではフォレスト全体の認証になります。

フォレスト全体の認証

フォレストレベルの認証を有効にすると、フォレストのドメインコントローラーは、信頼されたフォレストのユーザーが行うすべてのアクセス要求を認証します。認証が成功すると、リソースへのアクセスは、リソースのアクセスコントロールリスト (ACL) に基づいて許可または拒否されます。

ただし、このアプローチを使用する場合はリスクが伴います。信頼されたフォレストの外部ユーザーが正常に認証されると、そのユーザーは [認証ユーザー] グループのメンバーになります。このグループには永続的メンバーはいません。メンバーシップは認証に基づいて動的に計算されます。アカウントが [認証ユーザー] グループのメンバーになると、そのアカウントは認証ユーザーグループがアクセスできるすべてのリソースにアクセスできます。

選択的認証

認証を制御するには、選択的認証レベルを使用できます。このレベルでは、すべてのユーザーがデフォルトでドメインコントローラーによって認証されるわけではありません。代わりに、ドメインコントローラーが認証要求が信頼できるフォレストからのものであることを検出すると、ドメインコントローラーはユーザーアカウントを検証します。ドメインコントローラーは、ユーザーアカウントにオブジェクトを保持するリソースに対する排他的アクセス権が付与されていることを検証します。

選択的認証がオンになっている場合は、オンプレミスの Active Directory のそれぞれのユーザーとグループを追加する必要があります。ユーザーとグループは、[オブジェクトの認証を許可された AWS 委任] グループに追加する必要があります。このグループには、[認証が許可済み] アクセス許可が割り当てられます。このグループに属するすべてのユーザーは、RDS インスタンスにアクセスできます。このグループに属していないユーザーは Amazon RDS for SQL Server にアクセスできません。

注: AWS Managed Microsoft AD を設定すると、デフォルトで [オブジェクトの認証を許可された AWS 委任] グループが作成されます。このグループのメンバーは、AWS リザーブド組織単位 (OU) のリソースに対して認証を行うことができます。このグループは、選択的認証トラストを使用するオンプレミスオブジェクトにのみ必要です。

ログインとパスワードのステータス

オンプレミスの Active Directory ログインパスワードとステータスを期限切れにしたりロックしたりすることはできません。ログインステータスを確認するには、次のコマンドを使用します。

net user username/domain

注: username をログインステータスを確認するユーザーに変更し、domain は変更しないでください。

SPN が重複している

デフォルトでは、Amazon RDS は必要に応じて一意のサービスプリンシパル名 (SPN) を作成します。重複した SPN が作成されると、オンプレミスの Active Directory ユーザーがログインに失敗することがあります。重複する SPN を特定して削除するには、Microsoft のウェブサイトの「Remove the duplicate service principal name」(重複するサービスプリンシパル名の削除) を参照してください。

セキュリティパッチ

オンプレミスの Active Directory ログインエラーが発生し、信頼関係を既に確認している場合は、最新のセキュリティパッチを確認してください。Windows アップデート (KB) に関する既知の問題がないか、分散制御システム (DCS) サーバーまたはドメインネームシステム (DNS) サーバーを確認してください。セキュリティパッチや KB エントリを含む問題が見つかった場合は、必要に応じて更新をロールバックする必要があります。Windows アップデートに関する既知の問題を検索するには、Microsoft のウェブサイトで「Microsoft Learn.Spark possibility.」を参照してください。