Amazon RDS for Oracle が自前管理の Microsoft Active Directory との Kerberos 認証をサポート

Amazon RDS for Oracle において、オンプレミスや Amazon EC2、他社クラウド上で稼働する自前管理の Microsoft Active Directory (AD) ドメインへの直接参加が可能になりました。これにより、Kerberos 認証を用いたユーザーの認証・認可が実現します。従来は AWS Managed Microsoft AD を介した信頼関係の構築が必要でしたが、本機能により、追加のディレクトリサービス構築なしで既存の AD ドメインに直接参加させることが可能です。本機能は Amazon RDS for Oracle が提供されるすべての商用 AWS リージョンで利用可能です。

🛠️ エンジニア視点の考察

💡 解決される課題とメリット

以前は、自前管理の AD を利用して RDS for Oracle で Kerberos 認証を行う場合、AWS Managed Microsoft AD を別途用意してドメイン間の信頼関係（Trust Relationship）を構築するという、かなり手間のかしのいる構成が必要でした。今回のアップデートにより、「既存の AD に直接参加させる」 というシンプルな構成が可能になり、管理コストと構成の複雑さを大幅に削減できます。また、自前管理 AD の利用に追加料金は発生しない点も、コスト面でも大きなメリットです。

🇯🇵 日本国内リージョンの状況

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能であることが確認されています。国内のオンプレミス環境と AWS 上の RDS を統合する際の認証基盤の設計が非常にスムーズになります。

🚀 実務上のアドバイス

• 構成の簡素化: 既存の AD 構成をそのまま活用できるため、ネットワーク経路（VPN や Direct Connect）の確保と、DNS 解決が正しく行われていることが重要です。
• セキュリティ: Kerberos 認証の導入により、パスワード管理の負担を軽減しつつ、強固な認証を実現できます。

✅ 次のアクション

まずは、既存の AD ドメインへの参加設定を AWS マネジメントコンソールや CLI から試行し、ネットワーク疎通と Kerberos チケットのやり取りが正常に行えるかを確認することをお勧めします。

参照ドキュメント: Amazon RDS User Guide: Working with self-managed Active Directory with an Amazon RDS for Oracle DB instance