Amazon RDS for Oracle agora autentica via Kerberos com Active Directory self-managed

O que mudou

O Amazon RDS for Oracle agora permite juntar (join) uma instância de banco diretamente a um domínio Microsoft Active Directory self-managed, anunciado pela AWS em 5 de novembro de 2026. Usuários cadastrados nesse domínio autenticam nas instâncias via Kerberos, sem passar por nenhuma camada intermediária gerenciada pela AWS.

Antes, quem queria Kerberos com AD self-managed em RDS for Oracle precisava implantar o AWS Managed Microsoft AD e configurar uma relação de confiança (trust) entre o domínio gerenciado pela AWS e o domínio self-managed da empresa. Era um diretório extra só para fazer de ponte. Agora essa ponte some: a instância conversa direto com o AD que já existe, esteja ele num data center próprio, numa instância EC2 ou num servidor de domínio rodando em outro provedor de nuvem.

Onde está disponível

A AWS afirma que o recurso está em todas as regiões comerciais onde o Amazon RDS for Oracle está disponível. Isso significa que quem já mantém instâncias Oracle em produção em qualquer uma dessas regiões não precisa esperar uma expansão regional futura para usar a integração.

Quanto custa

Segundo a AWS, não há cobrança adicional para usar Active Directory self-managed com RDS for Oracle: "You can use self-managed AD without any additional charge" (original, en), conforme o anúncio. O custo da própria instância RDS for Oracle continua o mesmo, e o domínio AD self-managed é mantido pelo cliente, com sua própria estrutura de custo já existente.

A diferença de orçamento está no que deixa de ser necessário: antes, para usar Kerberos com AD self-managed, era preciso manter um domínio AWS Managed Microsoft AD rodando só para sustentar o trust, com seu próprio custo por hora de controlador de domínio. Com o join direto, essa camada deixa de existir, e o custo dela some do desenho.

Como começar

A AWS diz que a configuração é feita pelo AWS Management Console, pela AWS CLI ou pelo AWS SDK, sem exigir nenhum diretório ou relação de confiança adicional. O guia oficial, "Working with self-managed Active Directory with an Amazon RDS for Oracle DB instance", no Amazon RDS User Guide, traz o passo a passo completo.

Antes de migrar uma instância de produção, vale testar o fluxo numa réplica ou numa instância de homologação, confirmando que a rede entre o VPC do RDS e os controladores de domínio self-managed (via VPN, Direct Connect ou peering, dependendo de onde o AD roda) está liberada nas portas certas para Kerberos e LDAP.

O que muda para quem já usa

Para arquitetos e times de DevOps que já operam RDS for Oracle com AWS Managed Microsoft AD e trust configurado, a mudança não é obrigatória: o que já funciona continua funcionando. Mas abre uma opção de simplificação de ambiente, principalmente para quem roda infraestrutura híbrida ou multi-cloud.

Em resumo: o cenário típico que ganha com essa mudança é o de empresa com Active Directory corporativo já estabelecido, seja num data center on-premises, seja num domínio mantido em outra nuvem, que hoje precisa manter uma instância paralela de AWS Managed Microsoft AD só para servir de ponte de confiança até o RDS for Oracle. Com o join direto, esse componente intermediário sai do desenho de arquitetura, reduzindo superfície de operação, menos um domínio para corrigir, monitorar e auditar, e reduzindo também o atraso de propagação de usuários e grupos que um trust entre dois diretórios sempre introduz.

Para quem está desenhando um ambiente novo, a decisão de arquitetura muda de figura: a pergunta deixa de ser "preciso do AWS Managed Microsoft AD para ter Kerberos no RDS for Oracle" e passa a ser "meu AD self-managed tem conectividade de rede e DNS resolvível a partir do VPC onde a instância RDS vai rodar".

Fica em aberto, pela fonte disponível, o comportamento de failover e latência de autenticação em cenários onde os controladores de domínio self-managed estão geograficamente distantes da região onde a instância RDS roda, algo que cada time deve validar no próprio ambiente antes de descontinuar um trust já em produção.

Fonte 1: AWS What's New (https://aws.amazon.com/about-aws/whats-new/2026/11/rds-oracle-kerberos-self-managed-ad/)

Amazon RDS for Oracle now supports Kerberos authentication with self-managed Active Directory - AWS

Skip to main content

Amazon RDS for Oracle now supports Kerberos authentication with self-managed Active Directory

Posted on: Nov 5, 2026

Amazon Relational Database Service (Amazon RDS) for Oracle ( Amazon Relational Database Service (Amazon RDS) for Oracle ) now allows customers to join their RDS for Oracle DB instances directly to their self-managed Microsoft Active Directory (AD) domain. Your self-managed AD can run on premises, on Amazon EC2, or with another cloud provider. Users in your AD domain can authenticate to RDS for Oracle DB instances using Kerberos.

Previously, in order to use Kerberos authentication with self-managed AD for their RDS for Oracle instances, customers were required to deploy AWS Managed Microsoft AD and establish trust between AWS managed domain and self-managed domain. Now, customers can join their existing self-managed AD directly to authenticate and authorize users without setting up an additional directory or trust relationship. You can set this up using the AWS Management Console, AWS CLI, or AWS SDK. You can use self-managed AD without any additional charge.

Kerberos authentication with self-managed Active Directory in Amazon RDS for Oracle is available in all commercial AWS Regions where Amazon RDS for Oracle is available. To learn more about Kerberos authentication with self-managed Active Directory, visit Working with self-managed Active Directory with an Amazon RDS for Oracle DB instance in the Amazon RDS User Guide.

Fonte: AWS What's New