Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Problembehandlung bei selbstverwaltetem Active Directory für Amazon RDS for Oracle
Verwenden Sie die folgenden Informationen, um häufig auftretende Probleme mit dem selbstverwalteten Active Directory (AD) für Amazon RDS for Oracle zu lösen. Um die Ereignisse zu sehen, die Amazon RDS für Ihre DB-Instance ausgibt, führen Sie Folgendes aus [Ereignisse beschreiben](https://docs.aws.amazon.com/cli/latest/reference/rds/describe-events.html) oder öffne das **Protokolle und Ereignisse** Registerkarte der DB-Instance in der Konsole.
```
aws rds describe-events \
--source-type db-instance \
--source-identifier my-oracle-instance \
--duration 1440
```
## Probleme, wenn Sie eine DB-Instance zur Domain hinzufügen
| Symptom | Wahrscheinliche Ursache | Action |
| --- | --- | --- |
| Die API kehrt zurück InvalidParameterCombination: The domain must have exactly two DNS endpoints. | Sie haben eine oder mehr als zwei Adressen weitergegeben an --domain-dns-ips. | Übergeben Sie genau zwei Adressen. Wenn Sie einen DNS-Server haben, geben Sie dessen Adresse zweimal ein. |
| Die API lehnt den geheimen Amazon-Ressourcennamen (ARN) ab. | Das Geheimnis liegt in einem anderen AWS Konto oder AWS-Region als die DB-Instance. | Erstelle das Geheimnis und AWS KMS geben Sie dasselbe Konto und dieselbe Region wie die DB-Instance ein. |
| Der Status ist enable-kerberos-failed, und das Ereignis meldet, dass Amazon RDS das Geheimnis nicht lesen kann. | Die Richtlinie für geheime Ressourcen erlaubt das nicht rds.amazonaws.com anrufen secretsmanager:GetSecretValue, das aws:sourceArn Die Bedingung stimmt nicht mit der DB-Instance überein, oder AWS KMS Die Schlüsselrichtlinie erlaubt das nicht rds.amazonaws.com anrufen kms:Decrypt. | Korrigieren Sie die Richtlinien wie unter [Schritt 4: Erstellen Sie eine AWS KMS Schlüssel](oracle-smad-setting-up.md#oracle-smad-setting-up.step4) und [Schritt 5: Erstellen Sie ein Secrets Manager-Geheimnis](oracle-smad-setting-up.md#oracle-smad-setting-up.step5), und versuchen Sie dann erneut, die Verbindung herzustellen. |
| Der Status ist enable-kerberos-failed, und das Ereignis meldet ungültige Domänenanmeldeinformationen. | Die geheimen Schlüsselnamen sind falsch, der Benutzername enthält ein Domänenpräfix, das Passwort ist falsch oder das Konto ist gesperrt, deaktiviert oder abgelaufen. | Vergewissern Sie sich, dass die Schlüssel korrekt sind SELF\_MANAGED\_ACTIVE\_DIRECTORY\_USERNAME und SELF\_MANAGED\_ACTIVE\_DIRECTORY\_PASSWORD, und dass der Benutzername kein Domänenpräfix hat. Entsperren Sie das Konto in AD oder setzen Sie es zurück, aktualisieren Sie das Geheimnis und versuchen Sie erneut, dem Konto beizutreten. |
| Der Status ist enable-kerberos-failed, und das Ereignis meldet, dass Amazon RDS die Domain nicht erreichen kann. | Die DNS-Serveradressen sind falsch, oder Sicherheitsgruppen, Netzwerk-ACLs, Routen oder Firewalls blockieren den Verkehr zwischen der DB-Instance und Ihren Domain-Controllern. | Überprüfen Sie die Adressen und Regeln, die unter beschrieben sind [Konfigurieren Ihrer Netzwerkkonnektivität](oracle-smad-requirements.md#oracle-smad-requirements.configure-network), und versuchen Sie dann erneut, die Verknüpfung herzustellen. |
| Der Status ist enable-kerberos-failed, und das Ereignis meldet einen Berechtigungs- oder Autorisierungsfehler. | Die Organisationseinheit (OU) ist nicht vorhanden, der definierte Name ist falsch oder dem Domänendienstkonto fehlt eine der delegierten Berechtigungen. | Überprüfen Sie den eindeutigen Namen der Organisationseinheit und schließen Sie den Vorgang ab [Schritt 3: Delegieren der Kontrolle an das AD-Domain-Servicekonto](oracle-smad-setting-up.md#oracle-smad-setting-up.step3). Versuchen Sie dann erneut, den Join durchzuführen. |
## Probleme nach dem Beitritt zur DB-Instance
| Symptom | Wahrscheinliche Ursache | Action |
| --- | --- | --- |
| Der Status ist kerberos-enabled, aber Amazon RDS gibt ein Ereignis aus, das die Domänencontroller nicht erreichen kann. | Durch eine Änderung der Sicherheitsgruppen, Netzwerk-ACLs, Routen, VPN- oder Domänencontroller-Adressen wurde die Konnektivität zwischen der DB-Instance und Ihrer Domain unterbrochen. | Überprüfen Sie die Adressen und Regeln, die unter beschrieben sind [Konfigurieren Ihrer Netzwerkkonnektivität](oracle-smad-requirements.md#oracle-smad-requirements.configure-network). Stellen Sie die Konnektivität an den Ports 53, 88, 464 und 389 wieder her. Wenn sich die Adressen des Domänencontrollers geändert haben, ändern Sie die DB-Instance mit der neuen --domain-dns-ips Werte. |
| Der Status ist kerberos-enabled, aber Amazon RDS gibt ein Ereignis aus, das keine Verbindung zu den Domain-Anmeldeinformationen herstellen kann. | Das Passwort für das Domain-Dienstkonto wurde in AD geändert, aber nicht im Secret, oder das Konto ist gesperrt, deaktiviert oder abgelaufen. | Aktualisieren Sie den geheimen Schlüssel oder entsperren Sie das Konto. Details hierzu finden Sie unter [Rotieren der Anmeldeinformationen für das Domänendienstkonto](oracle-smad-managing.md#oracle-smad-managing.rotate-credentials). |
| Die Kerberos-Anmeldung schlägt auf einer wiederhergestellten DB-Instance oder Read Replica fehl. | Die neue DB-Instance wurde der Domain nicht hinzugefügt. Es ist DomainMemberships Die Liste ist leer. | Ändern Sie die neue DB-Instance mit den vier Domänenparametern. |
| Die Kerberos-Anmeldung schlägt fehl, nachdem Sie das AD-Benutzerobjekt, das Amazon RDS für die DB-Instance erstellt hat, verschoben oder gelöscht haben. | Amazon RDS erstellt ein AD-Benutzerobjekt für jede DB-Instance in der von Ihnen angegebenen Organisationseinheit. Der Name des Objekts besteht aus den ersten 20 Zeichen der DB-Instance-Ressourcen-ID in Kleinbuchstaben (z. B. db-abcdefghij1234567). Wenn Sie das Objekt löschen, kann der Domänencontroller keine Servicetickets für die DB-Instance ausstellen. Wenn Sie es aus der OU entfernen, kann Amazon RDS es nicht finden, um die Kerberos-Schlüssel zu rotieren oder die Konfiguration zu aktualisieren. | Verschieben oder löschen Sie dieses Objekt nicht. Wenn Sie es bereits gelöscht oder verschoben haben, ändern Sie die DB-Instance mit den vier Domain-Parametern, sodass Amazon RDS das Objekt in der Organisationseinheit neu erstellt. |
## Fehler bei der Client-Verbindung
| Fehler | Wahrscheinliche Ursache | Action |
| --- | --- | --- |
| ORA-01017: invalid username/password; logon denied | Das Kerberos-Ticket ist gültig, aber es gibt keinen Oracle-Benutzer für den Hauptbenutzer, oder der Benutzername stimmt nicht mit dem Hauptbenutzer in Großbuchstaben überein. | Erstellen Sie den Benutzer wie unter beschrieben [Schritt 2: Oracle-Logins mit Kerberos-Authentifizierung erstellen](oracle-smad-connecting.md#oracle-smad.connecting.step2). Stellen Sie in einer Multitenant-DB-Instance sicher, dass Sie den Benutzer in der Pluggable Database (PDB) erstellt haben, zu der Sie eine Verbindung herstellen. |
| ORA-18925: Error during Kerberos5 authentication | Allgemeiner clientseitiger Kerberos-Fehler bei der JDBC-Verbindung. In den meisten Fällen befindet sich kein Kerberos-Ticket im Cache für Anmeldeinformationen, oder das Ticket ist abgelaufen. | Führen Sie aus klist um zu bestätigen, dass ein gültiges Ticket existiert, und starte kinit wenn nicht. |
| ORA-18923: The service in process is not supported: No valid credentials provided (Mechanism level: Clock skew too great (37)) | Die Client-Uhr unterscheidet sich von der Uhr des Domänencontrollers um mehr als die maximale Toleranz der Domäne, die standardmäßig 5 Minuten beträgt. Kerberos-Fehler `37` ist `KRB_AP_ERR_SKEW`.
Beachten Sie das `kinit` kann in dieser Situation trotzdem erfolgreich sein, da der MIT-Kerberos-Client die Uhrzeit des Key Distribution Centers (KDC) aus dem `KRB_AP_ERR_SKEW` reagiert und versucht es erneut mit einem Offset. Der Fehler tritt daher auf, wenn die Anwendung eine Verbindung herstellt, nicht wenn das Ticket abgerufen wird.
Der `ORA-18923` Nachrichtentext, *Der gerade ausgeführte Dienst wird nicht unterstützt: Es wurden keine gültigen Anmeldeinformationen angegeben*, ist generisch und identifiziert die Ursache nicht von selbst. Lesen Sie das `Mechanism level` Klausel, um es zu bestimmen. | Synchronisieren Sie die Client-Uhr mit Ihrer Domain und stellen Sie erneut eine Verbindung her. Derselbe Fehler kann auch auftreten, wenn ein Ticket kurz vor dem Ablauf steht. |
| kinit: KDC has no support for encryption type | Ihre Domänencontroller erlauben keinen Verschlüsselungstyp, den der Client oder das RDS-Dienstkonto unterstützt. | Erlauben AES128-CTS-HMAC-SHA1-96 oder AES256-CTS-HMAC-SHA1-96 auf Ihren Domänencontrollern und für das Benutzerkonto. |