18.4. microsoft.sql.server Ansible システムロールと AD 統合を使用して SQL Server をインストールおよび設定する

手順

1. 機密性の高い変数を暗号化されたファイルに保存します。

   1. vault を作成します。

      $ ansible-vault create vault.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

   2. ansible-vault create コマンドでエディターが開いたら、機密データを <key>: <value> 形式で入力します。

      sa_pwd: <sa_password>
      sql_pwd: <SQL_AD_password>
      ad_admin_pwd: <AD_admin_password>

   3. 変更を保存して、エディターを閉じます。Ansible は vault 内のデータを暗号化します。

2. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Installing and configuring Microsoft SQL Server
     hosts: managed-node-01.example.com
     vars_files:
       - vault.yml
     tasks:
       - name: SQL Server with AD authentication
         ansible.builtin.include_role:
           name: microsoft.sql.server
         vars:
           mssql_accept_microsoft_odbc_driver_17_for_sql_server_eula: true
           mssql_accept_microsoft_cli_utilities_for_sql_server_eula: true
           mssql_accept_microsoft_sql_server_standard_eula: true
   
           mssql_version: 2022
           mssql_password: "{{ sa_pwd }}"
           mssql_edition: Developer
           mssql_tcp_port: 1433
           mssql_manage_firewall: true
   
           mssql_ad_configure: true
           mssql_ad_join: true
           mssql_ad_sql_user: sqluser
           mssql_ad_sql_password: "{{ sql_pwd }}"
           ad_integration_realm: ad.example.com
           ad_integration_user: Administrator
           ad_integration_password: "{{ ad_admin_pwd }}"

   サンプル Playbook で指定されている設定は次のとおりです。

   mssql_ad_configure: true

   AD に対する認証を有効にします。

   mssql_ad_join: true

   ad_integration RHEL システムロールを使用して、管理対象ノードを AD に参加させます。ロールは、ad_integration_realm、ad_integration_user、および ad_integration_password 変数の設定を使用してドメインに参加します。

   mssql_ad_sql_user: <username>

   管理目的でロールが AD および SQL Server に作成する AD アカウントの名前を設定します。

   ad_integration_user: <AD_user>

   マシンをドメインに参加させる権限と、mssql_ad_sql_user で指定された AD ユーザーを作成する権限を持つ AD ユーザーの名前を設定します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/microsoft.sql-server/README.md ファイルを参照してください。

3. Playbook の構文を検証します。

   $ ansible-playbook --ask-vault-pass --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

4. Playbook を実行します。

   $ ansible-playbook --ask-vault-pass ~/playbook.yml

5. AD ドメインで、Playbook で指定した AD SQL ユーザーに対して 128 ビットおよび 256 ビットの Kerberos 認証を有効にします。以下のオプションのいずれかを使用します。

   • Active Directory Users and Computers アプリケーションで、以下を実行します。

     1. ad.example.com > Users > sqluser > Accounts に移動します。
     2. Account options リストで、This account supports Kerberos AES 128 bit encryption と This account supports Kerberos AES 256 bit encryption を選択します。
     3. Apply をクリックします。

   • 管理者モードの PowerShell で、次のように入力します。

     C:\> Set-ADUser -Identity sqluser -KerberosEncryptionType AES128,AES256

6. SQL Server に対して認証できる AD ユーザーを許可します。SQL Server で、次の手順を実行します。

   1. Administrator ユーザーの Kerberos チケットを取得します。

      $ kinit Administrator@ad.example.com

   2. AD ユーザーを許可します。

      $ /opt/mssql-tools/bin/sqlcmd -S. -Q 'CREATE LOGIN [AD\<AD_user>] FROM WINDOWS;'

      SQL Server へのアクセスを許可するすべての AD ユーザーに対してこの手順を繰り返します。