View a markdown version of this page

Voraussetzungen - Amazon Relational Database Service
Konfigurieren Ihres On-Premises-ADKonfigurieren Ihrer NetzwerkkonnektivitätKonfigurieren Ihres AD-Domain-Servicekontos

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Voraussetzungen

Stellen Sie sicher, dass Sie die folgenden Anforderungen erfüllen, bevor Sie eine RDS for Db2-DB-Instance zu Ihrer selbstverwalteten AD-Domäne hinzufügen.

Konfigurieren Ihres On-Premises-AD

Stellen Sie sicher, dass Sie über ein lokales oder ein anderes selbstverwaltetes Microsoft AD verfügen, mit dem Sie die RDS for Db2-Instance verbinden können. Ihr On-Premises-AD sollte folgende Konfiguration aufweisen:

  • Wenn Sie AD-Sites definiert haben, stellen Sie sicher, dass die Subnetze in der VPC, die Ihrer RDS for Db2-DB-Instance zugeordnet sind, in Ihrer AD-Site definiert sind. Vergewissern Sie sich, dass keine Konflikte zwischen den Subnetzen in Ihrer VPC und den Subnetzen an Ihren anderen AD-Standorten bestehen.

  • Ihr AD-Domain-Controller weist die Domain-Funktionsebene Windows Server 2008 R2 oder höher auf.

  • Der vollständig qualifizierte Domain-Name (Fully Qualified Domain Name, FQDN) für Ihr AD darf 47 Zeichen nicht überschreiten.

Konfigurieren Ihrer Netzwerkkonnektivität

Stellen Sie sicher, dass Sie die folgenden Netzwerkanforderungen erfüllen:

  • Konfigurieren Sie die Konnektivität zwischen der Amazon VPC, auf der Sie die RDS for Db2-DB-Instance erstellen möchten, und Ihrem selbstverwalteten AD. Sie können Konnektivität über AWS Direct Connect, AWS VPN, VPC-Peering oder AWS Transit Gateway einrichten.

  • Für VPC-Sicherheitsgruppen ist die Standardsicherheitsgruppe für Ihre Standard-VPC bereits zu Ihrer RDS for Db2-DB-Instance in der Konsole hinzugefügt. Stellen Sie sicher, dass die Sicherheitsgruppe und die VPC-Netzwerk-ACLs für die Subnetze, in denen Sie Ihre RDS for Db2-DB-Instance erstellen, Datenverkehr an den in der folgenden Tabelle angegebenen Ports zulassen.

    Erforderliche Ports für selbstverwaltetes AD
    Protocol (Protokoll) Ports Rolle
    TCP/UDP 53 Domain Name System (DNS)
    TCP/UDP 88 Kerberos-Authentifizierung
    TCP/UDP 464 Change/Set Passwort
    TCP/UDP 389 Lightweight Directory Access Protocol (LDAP)

  • Im Allgemeinen befinden sich die Domain-DNS-Server in den AD-Domain-Controllern. Zur Verwendung dieser Funktion müssen Sie den VPC-DHCP-Optionssatz nicht konfigurieren. Weitere Informationen finden Sie unter DHCP-Optionssätze im Amazon-VPC-Benutzerhandbuch.

Wichtig

Wenn Sie VPC-Netzwerk-ACLs verwenden, müssen Sie auch ausgehenden Datenverkehr auf dynamischen Ports (49152-65535) von Ihrer RDS for Db2-DB-Instance zulassen. Stellen Sie sicher, dass diese Verkehrsregeln auch auf den Firewalls widergespiegelt werden, die für die einzelnen AD-Domänencontroller, DNS-Server und RDS für Db2-DB-Instances gelten.

Für VPC-Sicherheitsgruppen müssen Ports nur in der Richtung geöffnet werden, aus der der Netzwerkverkehr stammt. Die meisten Windows-Firewalls und VPC-Netzwerk-ACLs erfordern jedoch, dass Ports in beide Richtungen geöffnet sind.

Konfigurieren Ihres AD-Domain-Servicekontos

Stellen Sie sicher, dass Sie die folgenden Anforderungen für ein AD-Domänendienstkonto erfüllen:

  • Stellen Sie sicher, dass Sie in Ihrer selbstverwalteten AD-Domäne über ein Domänendienstkonto mit delegierten Berechtigungen zum Erstellen und Verwalten von Benutzerobjekten in einer speziellen Organisationseinheit (OU) verfügen. Ein Domänendienstkonto ist ein Benutzerkonto in Ihrem selbstverwalteten AD, an das Sie Berechtigungen zur Ausführung bestimmter Aufgaben delegiert haben.

  • Dem Domänendienstkonto müssen die folgenden Berechtigungen in der Organisationseinheit, der Sie Ihrer RDS for Db2-DB-Instance beitreten, delegiert werden:

    • Benutzerobjekte erstellen und löschen

    • Passwort zurücksetzen

    • Lesen und schreiben msDS-SupportedEncryptionTypes

    • Lesen und schreiben servicePrincipalName

    Eine schrittweise Anleitung zum Einstellen dieser Berechtigungen finden Sie unterSchritt 3: Delegieren der Kontrolle an das AD-Domain-Servicekonto.

Wichtig

Verschieben Sie die Benutzerobjekte, die RDS for Db2 erstellt, nicht in die Organisationseinheit, nachdem Ihre DB-Instance erstellt wurde. Wenn Sie die zugehörigen Objekte verschieben, wird Ihre RDS for Db2-DB-Instance falsch konfiguriert. Wenn Sie die von Amazon RDS erstellten Benutzerobjekte verschieben müssen, verwenden Sie den ModifyDBInstanceAPI-Vorgang, um die Domänenparameter mit dem gewünschten Speicherort der Benutzerobjekte zu ändern.