Sdílet prostřednictvím

Kurz – Nasazení konektoru Active Directory (AD) v režimu keytab spravovaného zákazníkem

  • Článek

Tento článek vysvětluje, jak nasadit konektor Active Directory (AD) v režimu keytab spravovaného zákazníkem. Konektor je klíčovou komponentou pro povolení ověřování Active Directory ve službě SQL Managed Instance povolenou službou Azure Arc.

Konektor služby Active Directory v režimu keytab spravovaného zákazníkem

V režimu klíče spravovaného zákazníkem nasadí konektor služby Active Directory proxy službu DNS, která proxy servery DNS přicházející ze spravované instance do některé ze dvou nadřazených služeb DNS:

  • Servery DNS služby Active Directory
  • Servery DNS Kubernetes

Konektor AD usnadňuje prostředí, které SQL potřebuje k ověřování přihlášení AD.

Následující diagram znázorňuje funkce konektoru AD a proxy služby DNS v režimu keytab spravovaného zákazníkem:

Konektor služby Active Directory

Požadavky

Než budete pokračovat, musíte mít:

  • Instance kontroleru dat nasazená v podporované verzi Kubernetes
  • Doména služby Active Directory (AD)

Vstup pro nasazení konektoru Active Directory (AD)

K nasazení instance konektoru služby Active Directory je potřeba několik vstupů z doménového prostředí služby Active Directory.

Tyto vstupy jsou poskytovány ve specifikaci YAML instance konektoru AD.

Před nasazením instance konektoru AD musí být k dispozici následující metadata o doméně AD:

  • Název domény služby Active Directory
  • Seznam řadičů domény (plně kvalifikovaných názvů domén)
  • Seznam IP adres serveru DNS

Následující vstupní pole jsou zpřístupněna uživatelům ve specifikaci konektoru služby Active Directory:

  • Povinní účastníci

    • spec.activeDirectory.realm Název domény služby Active Directory velkými písmeny Toto je doména AD, ke které bude tato instance konektoru AD přidružená.

    • spec.activeDirectory.dns.nameserverIpAddresses Seznam IP adres serveru DNS služby Active Directory Služba proxy serveru DNS bude předávat dotazy DNS v zadaném názvu domény na tyto servery.

  • Volitelné

    • spec.activeDirectory.netbiosDomainName Název rozhraní NetBIOS domény služby Active Directory Toto je krátký název domény (před názvem Windows 2000) vaší domény služby Active Directory. Často se používá k opravňujícím účtům v doméně AD. Například pokud se účty v doméně označují jako CONTOSO\admin, pak je DOMÉNA CONTOSO názvem domény NETBIOS.

      Toto pole je nepovinné. Pokud není tato hodnota zadaná, výchozí hodnota je první popisek spec.activeDirectory.realm pole.

      Ve většině doménových prostředí je tato hodnota nastavená na výchozí hodnotu, ale některá doménová prostředí můžou mít jinou než výchozí hodnotu. Toto pole budete muset použít pouze v případě, že název NetBIOS vaší domény neodpovídá prvnímu popisku jeho plně kvalifikovaného názvu.

    • spec.activeDirectory.dns.domainName Název domény DNS, pro který má být vyhledávání DNS předáno serverům DNS služby Active Directory.

      Vyhledávání DNS pro libovolný název, který patří do této domény nebo jeho následnických domén, se předá službě Active Directory.

      Toto pole je nepovinné. Pokud není zadaný, použije se výchozí hodnota zadaná pro spec.activeDirectory.realm převod na malá písmena.

    • spec.activeDirectory.dns.replicas Počet replik pro službu proxy serveru DNS. Toto pole je volitelné a výchozí hodnota je 1, pokud není zadána.

    • spec.activeDirectory.dns.preferK8sDnsForPtrLookups Příznak označující, jestli se má upřednostnit odpověď serveru DNS Kubernetes před odpovědí serveru AD DNS pro vyhledávání IP adres.

      Služba proxy serveru DNS spoléhá na toto pole, aby určila, která nadřazená skupina serverů DNS preferuje vyhledávání IP adres.

      Toto pole je nepovinné. Pokud není zadaný, použije se true výchozí hodnota, tj. vyhledávání IP adres DNS se nejprve předá serverům DNS Kubernetes. Pokud se serverům DNS Kubernetes nepodaří zodpovědět vyhledávání, dotaz se pak předá serverům AD DNS. Při nastavení falsese tyto vyhledávání DNS předají nejprve na servery DNS služby AD a po selhání se vrátí do Kubernetes.

Nasazení konektoru Active Directory (AD) spravovaného zákazníkem

Pokud chcete nasadit konektor AD, vytvořte soubor specifikace .yaml s názvem active-directory-connector.yaml.

Následující příklad je příkladem konektoru AD spravovaného zákazníkem, který používá doménu AD s názvem CONTOSO.LOCAL. Nezapomeňte nahradit hodnoty hodnotami pro vaši doménu AD.

apiVersion: arcdata.microsoft.com/v1beta1
kind: ActiveDirectoryConnector
metadata:
  name: adarc
  namespace: <namespace>
spec:
  activeDirectory:
    realm: CONTOSO.LOCAL
  dns:
    preferK8sDnsForPtrLookups: false
    nameserverIPAddresses:
      - <DNS Server 1 IP address>
      - <DNS Server 2 IP address>

Následující příkaz nasadí instanci konektoru AD. V současné době se podporuje pouze nativní přístup kube pro nasazení.

kubectl apply –f active-directory-connector.yaml

Po odeslání nasazení instance ad connectoru můžete pomocí následujícího příkazu zkontrolovat stav nasazení.

kubectl get adc -n <namespace>

Související obsah