View a markdown version of this page

Anforderungen für selbstverwaltetes Active Directory - Amazon Relational Database Service
Konfigurieren Sie Ihr selbstverwaltetes ADKonfigurieren Ihrer NetzwerkkonnektivitätKonfigurieren Ihres AD-Domain-Servicekontos

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Anforderungen für selbstverwaltetes Active Directory

Stellen Sie sicher, dass Sie die folgenden Anforderungen erfüllen, bevor Sie eine Amazon RDS for Oracle DB-Instance zu Ihrer selbstverwalteten Active Directory (AD) -Domain hinzufügen.

Konfigurieren Sie Ihr selbstverwaltetes AD

Stellen Sie sicher, dass Sie über ein lokales oder ein anderes selbstverwaltetes Microsoft AD verfügen, dem Sie die RDS for Oracle-Instanz hinzufügen können. Ihr On-Premises-AD sollte folgende Konfiguration aufweisen:

  • Wenn Sie AD-Sites definiert haben, stellen Sie sicher, dass die Subnetze in der Virtual Private Cloud (VPC), die Ihrer RDS for Oracle DB-Instance zugeordnet sind, in Ihrer AD-Site definiert sind. Vergewissern Sie sich, dass keine Konflikte zwischen den Subnetzen in Ihrer VPC und den Subnetzen an Ihren anderen AD-Standorten bestehen.

  • Ihr AD-Domain-Controller weist die Domain-Funktionsebene Windows Server 2008 R2 oder höher auf.

  • Der vollqualifizierte Domainname (FQDN) für Ihr AD darf 64 Zeichen nicht überschreiten.

  • Ihre Domänencontroller ermöglichen die AES128-CTS-HMAC-SHA1-96 oder AES256-CTS-HMAC-SHA1-96 Kerberos-Verschlüsselungstyp.

Konfigurieren Ihrer Netzwerkkonnektivität

Stellen Sie sicher, dass Sie die folgenden Netzwerkanforderungen erfüllen:

  • Konfigurieren Sie die Konnektivität zwischen der Amazon VPC, auf der Sie die RDS für Oracle-DB-Instance erstellen, und Ihrem selbstverwalteten AD. Sie können Konnektivität einrichten mit Site-to-Site VPN, VPC-Peering oder.

  • Für VPC-Sicherheitsgruppen ist die Standardsicherheitsgruppe für Ihre Standard-VPC bereits zu Ihrer RDS for Oracle DB-Instance in der Konsole hinzugefügt. Stellen Sie sicher, dass die Sicherheitsgruppe und die VPC-Netzwerk-ACLs für die Subnetze, in denen Sie Ihre RDS for Oracle DB-Instance erstellen, den Datenverkehr an den folgenden Ports zulassen.

    Protocol (Protokoll) Ports Rolle
    TCP/UDP 53 DNS
    TCP/UDP 88 Kerberos-Authentifizierung
    TCP/UDP 464 Change/set Passwort
    TCP/UDP 389 LDAP

  • Im Allgemeinen befinden sich die Domain-DNS-Server in den AD-Domain-Controllern. Zur Verwendung dieser Funktion müssen Sie den VPC-DHCP-Optionssatz nicht konfigurieren. Weitere Informationen finden Sie unter DHCP-Optionssätze im Amazon-VPC-Benutzerhandbuch.

Wichtig

Wenn Sie VPC-Netzwerk-ACLs verwenden, müssen Sie auch eingehenden Rückverkehr auf den Ports 9000—65500 zu Ihrer RDS for Oracle-DB-Instance zulassen. Wenn sich Ihre Domänencontroller in einem Subnetz mit einer Netzwerk-ACL befinden, lassen Sie ausgehenden Datenverkehr auf den Ports 9000—65500 von den Domänencontrollern zu Ihrer DB-Instance zu.

Konfigurieren Ihres AD-Domain-Servicekontos

Stellen Sie sicher, dass Sie die folgenden Anforderungen für ein AD-Domänendienstkonto erfüllen:

  • Stellen Sie sicher, dass Sie in Ihrer selbstverwalteten AD-Domäne über ein Domänendienstkonto mit delegierten Berechtigungen zum Erstellen und Verwalten von Benutzerobjekten in einer dedizierten Organisationseinheit (OU) verfügen. Ein Domänendienstkonto ist ein Benutzerkonto in Ihrer selbstverwalteten AD, an das Sie die Berechtigung zur Ausführung bestimmter Aufgaben delegiert haben.

  • Dem Domain-Dienstkonto müssen die folgenden Berechtigungen in der Organisationseinheit, an die Sie Ihrer RDS for Oracle DB-Instance beitreten, delegiert werden:

    • Benutzerobjekte erstellen und löschen

    • Liest alle Eigenschaften von Benutzerobjekten

    • Setzen Sie das Passwort für Benutzerobjekte zurück

    • Lesen und schreiben servicePrincipalName auf Benutzerobjekten

    • Lesen und schreiben msDS-SupportedEncryptionTypes auf Benutzerobjekten

Schrittweise Anleitungen hierzu finden Sie unter Schritt 3: Delegieren der Kontrolle an das AD-Domain-Servicekonto.

Wichtig

Verschieben Sie die Benutzerobjekte, die RDS for Oracle in der Organisationseinheit erstellt, nicht, nachdem Ihre DB-Instance erstellt wurde. Wenn Sie die zugehörigen Objekte verschieben, wird Ihre RDS for Oracle DB-Instance falsch konfiguriert. Wenn Sie die von Amazon RDS erstellten Benutzerobjekte verschieben müssen, verwenden Sie den ModifyDBInstance API-Vorgang, um die Domänenparameter an die gewünschte Position der Benutzerobjekte anzupassen.