자습서: SQL Server on Linux 컨테이너에서 Active Directory 인증 구성

아티클
02/11/2024

적용 대상:SQL Server - Linux

이 자습서에서는 통합 인증이라고도 하는 Active Directory 인증을 지원하도록 SQL Server on Linux 컨테이너를 구성하는 방법을 설명합니다. 개요에 대해서는 Linux의 SQL Server에 대한 Active Directory 인증을 참조하세요.

참고 항목

네트워크 구성에 대한 현재 지침은 운영 체제(OS)에 대한 설명서를 참조하세요.

이 자습서는 다음 작업으로 구성됩니다.

adutil 설치
Linux 호스트를 Active Directory 도메인에 조인
Adutil 도구를 사용하여 SQL Server용 Active Directory 사용자를 만들고 SPN(서비스 사용자 이름)을 설정합니다.
SQL Server 서비스 keytab 파일 만들기
SQL Server 컨테이너에서 mssql.conf 사용할 파일 및 krb5.conf 만들기
구성 파일 탑재 및 SQL Server 컨테이너 배포
Transact-SQL을 사용하여 Active Directory 기반 SQL Server 로그인 만들기
Active Directory 인증을 사용하여 SQL Server 연결

사전 요구 사항

Active Directory 인증을 구성하려면 다음 항목이 필요합니다.

네트워크에 Active Directory 도메인 컨트롤러(Windows)가 있음
do기본 조인된 Linux 호스트 머신에 adutil을 설치합니다. 자세한 내용은 설치 adutil 섹션을 따르세요.

컨테이너 배포 및 준비

컨테이너를 설정하려면 호스트의 컨테이너에서 사용할 포트를 미리 알고 있어야 합니다. 기본 포트는 1433컨테이너 호스트에서 다르게 매핑될 수 있습니다. 이 자습서에서는 호스트의 포트 5433 가 컨테이너의 포트 1433 에 매핑됩니다. 자세한 내용은 빠른 시작, 빠른 시작: Docker를 사용하여 SQL Server Linux 컨테이너 이미지 실행을 참조하세요.

SPN(서비스 사용자 이름)을 등록할 때 컴퓨터의 호스트 이름 또는 컨테이너 이름을 사용할 수 있습니다. 그러나 외부에서 컨테이너에 연결할 때 보려는 내용에 따라 구성해야 합니다.

Sql Server 컨테이너의 이름에 매핑하여 Linux 호스트 IP 주소에 대한 Active Directory에 전달 호스트(A) 항목이 추가되었는지 확인합니다. 이 자습서에서 sql1 호스트 머신의 IP 주소는 10.0.0.10이고 SQL Server 컨테이너 이름은 sql1입니다. 스크린샷과 같이 Active Directory에 전달 호스트 항목을 추가합니다. 이 항목은 사용자가 sql1.contoso.com에 연결할 때 올바른 호스트에 연결되도록 합니다.

Screenshot of adding a host record.

이 자습서에서는 세 개의 VM(가상 머신)이 포함된 Azure의 환경을 사용하고 있습니다. 하나의 VM은 도메인 이름이 contoso.com인 Windows DC(도메인 컨트롤러) 역할을 합니다. 도메인 컨트롤러의 이름은 adVM.contoso.com입니다. 두 번째 머신은 Windows 10 Desktop이 실행되는 winbox라는 Windows 머신이며, 클라이언트 머신으로 사용되고 SSMS(SQL Server Management Studio)가 설치되어 있습니다. 세 번째 머신은 sql1라는 Ubuntu 18.04 LTS 머신이며 SQL Server 컨테이너를 호스트합니다. 모든 컴퓨터는 do기본 조인 contoso.com 됩니다. 자세한 내용은 Linux 호스트의 SQL Server를 Active Directory 도메인에 조인을 참조하세요.

참고

이 문서의 뒷부분에서 확인할 수 있듯이 호스트 컨테이너 머신을 반드시 도메인에 조인해야 하는 것은 아닙니다.

adutil 설치

adutil을 설치하려면 do기본 조인된 호스트 컴퓨터에서 adutil - Active Directory 유틸리티 소개의 단계를 수행합니다.

Active Directory 사용자, SPN 및 SQL Server 서비스 키탭 만들기

컨테이너 호스트가 do기본에 속하지 않고 컴퓨터를 do기본 조인하는 단계를 따르지 않으려면 이미 Active Directory의 일부인 다른 Linux 컴퓨터에서 다음 단계를 수행해야 합니다기본

SQL Server용 Active Directory 사용자를 만들고 adutil을 사용하여 SPN을 설정합니다.
SQL Server 서비스 keytab 파일을 만들고 구성합니다.

mssql.keytab 생성된 파일을 SQL Server 컨테이너를 실행할 호스트 컴퓨터에 복사하고 복사된 mssql.keytab컨테이너를 사용하도록 컨테이너를 구성합니다. 필요에 따라 SQL Server 컨테이너를 실행하는 Linux 호스트를 Active Directory에 조인하고기본 동일한 컴퓨터에서 다음 단계를 수행할 수도 있습니다.

SQL Server용 Active Directory 사용자 만들기 및 adutil을 사용하여 서비스 주체 이름 설정

Linux 컨테이너의 SQL Server에서 Active Directory 인증을 사용하도록 설정하려면 Active Directory의 일부인 Linux 컴퓨터에서 다음 단계를 실행해야 합니다기본.

kinit 명령을 사용하여 Kerberos TGT(Ticket Granting Ticket)를 얻거나 갱신합니다. kinit 명령에 권한 있는 계정을 사용합니다. 이 계정에는 도메인에 연결할 수 있는 권한이 있어야 하며 도메인에 계정 및 SPN을 만들 수도 있어야 합니다.

이 예제 스크립트에서는 도메인 컨트롤러에 권한 있는 사용자(privilegeduser@CONTOSO.COM)가 이미 생성되었습니다.
```
kinit privilegeduser@CONTOSO.COM
```
adutil을 사용하여 SQL Server에서 권한 있는 Active Directory 계정으로 사용할 새 사용자를 만듭니다.
```
adutil user create --name sqluser --distname CN=sqluser,CN=Users,DC=CONTOSO,DC=COM --password 'P@ssw0rd'
```
암호는 다음 세 가지 방법 중에서 지정할 수 있습니다.
- 암호 플래그: --password <password>
- 환경 변수 - ADUTIL_ACCOUNT_PWD
- 대화형 입력
암호 입력 방법의 우선 순위는 위에 나열된 옵션의 순서를 따릅니다. 권장되는 옵션은 환경 변수나 대화형 입력을 사용하여 암호를 지정하는 것입니다. 이러한 방법은 암호 플래그에 비해 더 안전하기 때문입니다.

위에 표시된 대로 고유 이름(-distname)을 사용하여 계정의 이름을 지정하거나 OU(조직 구성 단위) 이름을 사용할 수도 있습니다. 둘 다 지정하는 경우 OU 이름(--ou)이 고유 이름보다 우선적으로 적용됩니다. 자세한 내용을 보려면 다음 명령을 실행할 수 있습니다.
```
adutil user create --help
```
위에서 만든 사용자에 대해 SPN을 등록합니다. 외부에서 연결을 표시하려는 방식에 따라 원하는 경우 컨테이너 이름 대신 호스트 머신 이름을 사용할 수 있습니다. 이 자습서에서는 포트 5433 가 대신 1433사용됩니다. 이는 컨테이너를 매핑하는 포트입니다. 포트 번호는 다를 수 있습니다.
```
adutil spn addauto -n sqluser -s MSSQLSvc -H sql1.contoso.com -p 5433
```
- addauto는 kinit 계정에 충분한 권한이 제공된 경우 SPN을 자동으로 만듭니다.
- -n: SPN을 할당할 계정의 이름입니다.
- -s: SPN을 생성하는 데 사용할 서비스 이름입니다. 이 경우는 SQL Server 서비스에 대한 것이므로 서비스 이름은 MSSQLSvc입니다.
- -H: SPN을 생성하는 데 사용할 호스트 이름입니다. 지정하지 않으면 로컬 호스트의 FQDN이 사용됩니다. 컨테이너 이름에도 FQDN을 제공합니다. 이 경우 컨테이너 이름은 sql1이고 FQDN은 sql1.contoso.com입니다.
- -p: SPN을 생성하는 데 사용할 포트입니다. 지정하지 않으면 SPN이 포트 없이 생성됩니다. 커넥트은 SQL Server가 기본 포트1433를 수신 대기하는 경우에만 작동합니다.

SQL Server 서비스 keytab 파일 만들기

이전에 만든 4개의 SPN 각각에 대한 항목을 포함하는 keytab 파일과 사용자에 대한 keytab 파일을 만듭니다. keytab 파일은 컨테이너에 탑재되므로 호스트의 모든 위치에서 만들 수 있습니다. docker/podman을 사용하여 컨테이너를 배포할 때 결과 keytab이 올바르게 탑재되는 한 이 경로를 안전하게 변경할 수 있습니다.

모든 SPN에 대한 keytab을 만들려면 createauto 옵션을 사용할 수 있습니다.

adutil keytab createauto -k /container/sql1/secrets/mssql.keytab -p 5433 -H sql1.contoso.com --password 'P@ssw0rd' -s MSSQLSvc

-k: mssql.keytab 파일을 만들 경로입니다. 이전 예제에서 디렉터리가 /container/sql1/secrets 호스트에 이미 있어야 합니다.
-p: SPN을 생성하는 데 사용할 포트입니다. 지정하지 않으면 SPN이 포트 없이 생성됩니다.
-H: SPN을 생성하는 데 사용할 호스트 이름입니다. 지정하지 않으면 로컬 호스트의 FQDN이 사용됩니다. 컨테이너 이름에도 FQDN을 제공합니다. 이 경우 컨테이너 이름은 sql1이고 FQDN은 sql1.contoso.com입니다.
-s: SPN을 생성하는 데 사용할 서비스 이름입니다. 이 경우는 SQL Server 서비스에 대한 것이므로 서비스 이름은 MSSQLSvc입니다.
--password: 앞에서 만든 권한 있는 Active Directory 사용자 계정의 암호입니다.
-e 또는 --enctype: keytab 항목의 암호화 유형입니다. 쉼표로 구분된 값 목록을 사용합니다. 지정하지 않으면 대화형 프롬프트가 표시됩니다.

암호화 유형을 선택하는 옵션이 제공되는 경우 둘 이상의 옵션을 선택할 수 있습니다. 이 예제에서는 aes256-cts-hmac-sha1-96 및 arcfour-hmac를 선택했습니다. 호스트에서 지원하는 암호화 유형을 선택하고 기본.

암호화 유형을 비대화형으로 선택하려는 경우 위의 명령에서 -e 인수를 사용하여 원하는 암호화 유형을 지정할 수 있습니다. adutil 명령에 대한 추가 도움말을 보려면 다음 명령을 실행합니다.

adutil keytab createauto --help

주의

arcfour-hmac 는 약한 암호화이며 프로덕션 환경에서 사용할 권장 암호화 유형이 아닙니다.

사용자에 대한 keytab을 만드는 명령은 다음과 같습니다.

adutil keytab create -k /container/sql1/secrets/mssql.keytab -p sqluser --password 'P@ssw0rd'

-k: mssql.keytab 파일을 만들 경로입니다. 이전 예제에서 디렉터리가 /container/sql1/secrets 호스트에 이미 있어야 합니다.
-p: keytab에 추가할 사용자입니다.

adutil keytab create/autocreate는 이전 파일을 덮어쓰지 않으며 이미 있는 경우 파일에 추가합니다.

컨테이너를 배포할 때 생성된 keytab에 올바른 권한이 설정되어 있는지 확인합니다.

chmod 440 /container/sql1/secrets/mssql.keytab

이 시점에서 현재 Linux 호스트에서 SQL Server 컨테이너를 배포할 Linux 호스트로 복사 mssql.keytab 하고 SQL Server 컨테이너를 실행하는 Linux 호스트의 나머지 단계를 따를 수 있습니다. SQL Server 컨테이너가 배포될 동일한 Linux 호스트에서 위의 단계를 수행한 경우 동일한 호스트에서 다음 단계를 수행합니다.

SQL Server 컨테이너에서 사용할 구성 파일 만들기

Active Directory에 대한 설정을 사용하여 mssql.conf 파일을 만듭니다. 이 파일은 호스트의 어디에나 만들 수 있으며 docker run 명령을 실행하는 동안 올바르게 탑재해야 합니다. 이 예제에서는 이 mssql.conf 파일을 컨테이너 디렉터리인 /container/sql1 아래에 배치했습니다. 콘텐츠 mssql.conf 는 다음과 같이 표시됩니다.
```
[network]
privilegedadaccount = sqluser
kerberoskeytabfile = /var/opt/mssql/secrets/mssql.keytab
```
- privilegedadaccount: Active Directory 인증에 사용할 권한 있는 Active Directory 사용자입니다.
- kerberoskeytabfile: 파일이 있는 컨테이너의 mssql.keytab 경로입니다.

다음 샘플과 krb5.conf 같은 파일을 만듭니다. 대/소문자 구분은 이러한 파일에서 중요합니다.

[libdefaults]
default_realm = CONTOSO.COM

[realms]
CONTOSO.COM = {
    kdc = adVM.contoso.com
    admin_server = adVM.contoso.com
    default_domain = CONTOSO.COM
}

[domain_realm]
.contoso.com = CONTOSO.COM
contoso.com = CONTOSO.COM

모든 파일, 즉 mssql.conf, krb5.conf 및 mssql.keytab을 SQL Server 컨테이너에 탑재될 위치로 복사합니다. 이 예제에서 이 파일들은 /container/sql1/의 mssql.conf 및 krb5.conf에 있는 호스트에 배치됩니다. mssql.keytab은 /container/sql1/secrets/에 배치됩니다.
폴더에 사용자가 Docker/Podman 명령을 사용하기에 충분한 권한이 있는지 확인하세요. 컨테이너가 시작되면 사용자에게 생성된 폴더 경로에 대한 액세스 권한이 있어야 합니다. 이 예제에서는 폴더 경로에 다음 권한을 제공했습니다.
```
sudo chmod 755 /container/sql1/
```

구성 파일 탑재 및 SQL Server 컨테이너 배포

SQL Server 컨테이너를 실행하고 이전에 만든 올바른 Active Directory 구성 파일을 탑재합니다.

Important

SA_PASSWORD 환경 변수는 사용되지 않습니다. 대신 MSSQL_SA_PASSWORD을 사용합니다.

sudo docker run -e "ACCEPT_EULA=Y" -e "MSSQL_SA_PASSWORD=<YourStrong@Passw0rd>" \
-p 5433:1433 --name sql1 \
-v /container/sql1:/var/opt/mssql \
-v /container/sql1/krb5.conf:/etc/krb5.conf \
-d mcr.microsoft.com/mssql/server:2019-latest

참고 항목

SELinux 사용 호스트와 같은 LSM(Linux 보안 모듈)에서 컨테이너를 실행하는 경우 비공유 프라이빗 레이블로 콘텐츠의 레이블을 지정하도록 docker에 알려 주는 Z 옵션을 사용하여 볼륨을 탑재해야 합니다. 자세한 내용은 configure the SE Linux label(SE Linux 레이블 구성)을 참조하세요.

이 예제에는 다음 명령이 포함됩니다.

sudo docker run -e "ACCEPT_EULA=Y" -e "MSSQL_SA_PASSWORD=P@ssw0rd" -p 5433:1433 --name sql1 \
-v /container/sql1:/var/opt/mssql/ \
-v /container/sql1/krb5.conf:/etc/krb5.conf \
--dns-search contoso.com \
--dns 10.0.0.4 \
--add-host adVM.contoso.com:10.0.0.4 \
--add-host contoso.com:10.0.0.4 \
--add-host contoso:10.0.0.4 \
-d mcr.microsoft.com/mssql/server:2019-latest

mssql.conf 및 krb5.conf 파일은 호스트 파일 경로 /container/sql1에 있습니다.
생성된 mssql.keytab은 호스트 파일 경로 /container/sql1/secrets에 있습니다.
호스트 컴퓨터가 Azure에 있으므로 Active Directory 세부 정보를 동일한 순서로 docker run 명령에 추가해야 합니다. 이 예제에서 도메인 컨트롤러 adVM은 contoso.com 도메인에 있으며 IP 주소는 10.0.0.4입니다. 도메인 컨트롤러는 DNS 및 KDC를 실행합니다.

Transact-SQL을 사용하여 Active Directory 기반 SQL Server 로그인 만들기

SQL Server 컨테이너에 커넥트. 다음 명령을 사용하여 로그인을 만들고 해당 로그인이 있는지 확인합니다. SSMS, Azure Data Studio 또는 다른 CLI(명령줄 인터페이스) 도구를 실행하는 클라이언트 컴퓨터(Windows 또는 Linux)에서 이 명령을 실행할 수 있습니다.

CREATE LOGIN [contoso\amvin] FROM WINDOWS;

SELECT name FROM sys.server_principals;

Active Directory 인증을 사용하여 SQL Server에 커넥트

SSMS(SQL Server Management Studio) 또는 Azure Data Studio를 사용하여 연결하려면 SQL Server 이름 및 포트 번호(이름은 컨테이너 이름 또는 호스트 이름일 수 있음)를 사용하여 Windows 자격 증명으로 SQL Server에 로그인합니다. 이 예제에서 서버 이름은 sql1.contoso.com,5433입니다.

sqlcmd와 같은 도구를 사용하여 컨테이너의 SQL Server에 연결할 수도 있습니다.

sqlcmd -E -S 'sql1.contoso.com,5433'

자습서: SQL Server on Linux 컨테이너에서 Active Directory 인증 구성

사전 요구 사항

컨테이너 배포 및 준비

adutil 설치

Active Directory 사용자, SPN 및 SQL Server 서비스 키탭 만들기

SQL Server용 Active Directory 사용자 만들기 및 adutil을 사용하여 서비스 주체 이름 설정

SQL Server 서비스 keytab 파일 만들기

SQL Server 컨테이너에서 사용할 구성 파일 만들기

구성 파일 탑재 및 SQL Server 컨테이너 배포

Transact-SQL을 사용하여 Active Directory 기반 SQL Server 로그인 만들기

Active Directory 인증을 사용하여 SQL Server에 커넥트

리소스

피드백

피드백

추가 리소스

자습서: SQL Server on Linux 컨테이너에서 Active Directory 인증 구성

사전 요구 사항

컨테이너 배포 및 준비

adutil 설치

Active Directory 사용자, SPN 및 SQL Server 서비스 키탭 만들기

SQL Server용 Active Directory 사용자 만들기 및 adutil을 사용하여 서비스 주체 이름 설정

SQL Server 서비스 keytab 파일 만들기

SQL Server 컨테이너에서 사용할 구성 파일 만들기

구성 파일 탑재 및 SQL Server 컨테이너 배포

Transact-SQL을 사용하여 Active Directory 기반 SQL Server 로그인 만들기

Active Directory 인증을 사용하여 SQL Server에 커넥트

리소스

관련 콘텐츠

피드백

피드백

추가 리소스