データベース

Cloud SQL 用の Active Directory 診断ツール

2023年4月19日

Google Cloud Japan Team

※この投稿は米国時間 2023 年 4 月 8 日に、Google Cloud blog に投稿されたものの抄訳です。

Google Cloud で SQL Server インスタンスを実行していると、Windows の認証で苦労することがあります。特に難しいのが、マネージド Active Directory を使用して Cloud SQL for SQL Server とオンプレミスの Active Directory ドメインを統合する場合です。ハイブリッド構成は、オンプレミスとマネージド AD ドメイン間の信頼が存在しない、名前サフィックスルーティングがない、DNS やポート関連の構成を誤るなどの問題が発生する可能性があるため、セットアップは複雑で、トラブルシューティングは難しい作業になり得ます。

セットアップにおけるこのような問題のデバッグは一筋縄ではいかず、時間がかかってしまうこともあります。そこで、このデバッグのプロセスを自動化する新しいツールをご紹介します。

この PowerShell スクリプトは GitHub で公開されています。オンプレミスの AD ドメインコントローラー（DC）またはドメイン結合された Windows Virtual Machine（VM）で実行でき、オンプレミス DC に対して次のチェックを実行します。それぞれについてステータスが出力されます（詳細については GitHub の README をご覧ください）。

接続不能なオンプレミス DC
開いている TCP ポートと UDP ポート
プライマリ DNS サーバーとセカンダリ DNS サーバー
マネージド AD の完全修飾ドメイン名（FQDN）の解決
SQL Server の完全修飾ドメイン名（FQDN）の解決
DC 間のレプリケーションの問題
DNS 転送
オンプレミスドメインとマネージド AD 間の AD 信頼のセットアップ
名前サフィックスルーティング
オンプレミスドメインの Kerberos 認証
SQL Server SPN と IP アドレスの Kerberos 認証

前提条件

スクリプトを実行するための前提条件は次のとおりです。

1. オンプレミスのドメインコントローラーで AD が有効化されている https://cloud.google.com/architecture/deploy-fault-tolerant-active-directory-environment

2. マネージド AD ドメインが Google Cloud にある https://cloud.google.com/managed-microsoft-ad/docs/create-domain.

3. AD が有効化されている Cloud SQL for SQL Server インスタンスがマネージド AD ドメインと結合されている https://cloud.google.com/sql/docs/sqlserver/configure-ad

サンプルのチュートリアル

オンプレミスの AD ドメインを使用して Cloud SQL for SQL Server インスタンスにログインするには、オンプレミスとマネージド AD ドメイン間の信頼と、これら 2 つのドメイン間での名前サフィックスルーティングが必要です。まず、有効な信頼がセットアップされていない場合に、このツールがそれをどう検出するかを説明します。

1. Google Cloud にマネージド AD ドメインを作成します。