在AWS ECS Linux容器中运行的.NET Core应用如何用集成安全访问SQL Server？

核心背景 #

Linux系统不支持Windows集成身份验证（NTLM/Kerberos）的原生机制，需通过以下两种适配方案实现无密码/安全集成连接：

方案一：Azure AD托管身份验证（推荐，适配云环境） #

适用于支持Azure AD身份验证的SQL Server实例（如AWS RDS SQL Server已开启AD集成、Azure SQL Database）：

1. 配置连接字符串：使用托管身份认证模式，无需硬编码凭证

   Server=tcp:<SQL实例地址>,1433;Database=<目标数据库>;Authentication=Active Directory Managed Identity;Encrypt=True;TrustServerCertificate=False;
   

2. 配置ECS任务IAM权限：为ECS任务执行角色添加SQL Server访问权限（如AWS RDS的rds-db-connect权限，指定目标数据库和用户）
3. SQL Server侧配置：创建对应托管身份的登录名与数据库用户

   CREATE LOGIN [ECS任务角色ARN] FROM EXTERNAL PROVIDER;
   CREATE USER [ecs-task-identity-user] FOR LOGIN [ECS任务角色ARN];
   -- 按需分配权限
   ALTER ROLE db_datareader ADD MEMBER [ecs-task-identity-user];
   ALTER ROLE db_datawriter ADD MEMBER [ecs-task-identity-user];
   

方案二：Kerberos配置适配（传统集成安全） #

若必须使用Kerberos/NTLM，需在Linux容器内配置Kerberos客户端：

1. Docker镜像安装Kerberos工具（Debian/Ubuntu示例）：

   RUN apt-get update && apt-get install -y krb5-user --no-install-recommends
   

2. 配置krb5.conf：指定企业域控制器的KDC地址与域名

   [libdefaults]
       default_realm = YOUR-DOMAIN.COM
       dns_lookup_kdc = true
   [realms]
       YOUR-DOMAIN.COM = {
           kdc = dc.your-domain.com
           admin_server = dc.your-domain.com
       }
   

3. 注入Kerberos票据：通过AWS Secrets Manager或ECS环境变量注入服务主体凭证，在容器启动时执行kinit获取票据
4. 配置连接字符串：启用集成安全

   Server=<SQL服务器地址>;Database=<目标数据库>;Integrated Security=true;Encrypt=True;
   

关键注意事项 #

• 优先选择Azure AD托管身份方案，无需管理凭证，符合云原生安全最佳实践
• Kerberos方案需确保ECS VPC可连通企业域控制器，且容器系统时间与域控制器同步
• 所有连接必须启用Encrypt=True，禁止明文传输

内容的提问来源于stack exchange，提问作者Valera