Amazon Redshift unterstützt ab dem 1. November 2025 nicht mehr die Erstellung neuer Python-UDFs. Wenn Sie Python-UDFs verwenden möchten, erstellen Sie die UDFs vor diesem Datum. Bestehende Python-UDFs funktionieren weiterhin wie gewohnt. Weitere Informationen finden Sie im Blog-Posting.

Verbinden mit Amazon Redshift Serverless

Sobald Sie Ihre Amazon-Redshift-Serverless-Instance eingerichtet haben, können Sie eine Verbindung mit verschiedenen Methoden herstellen. Diese sind unten beschrieben. Wenn Sie mehrere Teams oder Projekte haben und die Kosten separat verwalten möchten, können Sie separate verwenden AWS-Konten.

Eine Liste der AWS-Regionen, in denen Amazon Redshift Serverless verfügbar ist, finden Sie in der Übersicht über die Endpunkte für die Redshift-Serverless-API in der Allgemeine Amazon Web Services-Referenz.

Amazon Redshift Serverless stellt eine Verbindung mit der Serverless-Umgebung in Ihrem AWS-Konto in der aktuellen AWS-Region her. Amazon Redshift Serverless wird in einer VPC innerhalb der Portbereiche 5431–5455 und 8191–8215 ausgeführt. Der Standardwert ist 5439. Derzeit können Sie Ports nur mit der API-Operation UpdateWorkgroup und der AWS CLI-Operation update-workgroup ändern.

Verbinden mit Amazon Redshift Serverless

Sie können eine Verbindung mit einer Datenbank (namens dev) in Amazon Redshift Serverless mit der folgenden Syntax herstellen.

workgroup-name.account-number.aws-region.redshift-serverless.amazonaws.com:port/dev

Die folgende Verbindungszeichenfolge gibt beispielsweise die Region us-east-1 an.

default.123456789012.us-east-1.redshift-serverless.amazonaws.com:5439/dev

Verbinden mit Amazon Redshift Serverless über JDBC-Treiber

Sie können eine der folgenden Methoden verwenden, um mit der von Amazon Redshift bereitgestellten JDBC-Treiberversion 2.x eine Verbindung mit Amazon Redshift Serverless mit Ihrem bevorzugten SQL-Client herzustellen.

Verwenden Sie die folgende Syntax, um eine Verbindung mit Anmeldeinformationen für die Datenbankauthentifizierung unter Verwendung der JDBC-Treiberversion 2.x oder höher herzustellen. Die Portnummer ist optional; falls nicht enthalten, verwendet Amazon Redshift Serverless standardmäßig die Portnummer 5439. Sie können zu einem anderen Port aus dem Portbereich 5431–5455 oder 8191–8215 wechseln. Verwenden Sie die AWS CLI und die Amazon-Redshift-API, um den Standardport für einen Serverless-Endpunkt zu ändern.

jdbc:redshift://workgroup-name.account-number.aws-region.redshift-serverless.amazonaws.com:5439/dev

Die folgende Verbindungszeichenfolge gibt beispielsweise die Arbeitsgruppen-Standardeinstellung, die Konto-ID 123456789012 und die Region us-east-2 an.

jdbc:redshift://default.123456789012.us-east-2.redshift-serverless.amazonaws.com:5439/dev

Verwenden Sie die folgende Syntax, um eine Verbindung mit IAM unter Verwendung der JDBC-Treiberversion 2.x herzustellen. Die Portnummer ist optional; falls nicht enthalten, verwendet Amazon Redshift Serverless standardmäßig die Portnummer 5439. Sie können zu einem anderen Port aus dem Portbereich 5431–5455 oder 8191–8215 wechseln. Verwenden Sie die AWS CLI und die Amazon-Redshift-API, um den Standardport für einen Serverless-Endpunkt zu ändern.

jdbc:redshift:iam://workgroup-name.account-number.aws-region.redshift-serverless.amazonaws.com:5439/dev

Die folgende Verbindungszeichenfolge gibt beispielsweise die Arbeitsgruppen-Standardeinstellung, die Konto-ID 123456789012 und die Region us-east-2 an.

jdbc:redshift:iam://default.123456789012.us-east-2.redshift-serverless.amazonaws.com:5439/dev

Verwenden Sie die folgende Syntax für ODBC.

Driver={Amazon Redshift (x64)}; Server=workgroup-name.account-number.aws-region.redshift-serverless.amazonaws.com; Database=dev

Wenn Sie eine ältere JDBC-Treiberversion verwenden als 2.1.0.9 und eine Verbindung mit IAM herstellen, müssen Sie die folgende Syntax verwenden.

jdbc:redshift:iam://redshift-serverless-<name>:aws-region/database-name

Die folgende Verbindungszeichenfolge gibt beispielsweise die Arbeitsgruppen-Standardeinstellung und die AWS-Region us-east-2 an.

jdbc:redshift:iam://redshift-serverless-default:us-east-1/dev

Weitere Informationen zu Treibern finden Sie unter Konfigurieren von Verbindungen in Amazon Redshift.

So finden Sie die JDBC- und die ODBC-Verbindungszeichenfolge

Sie benötigen die JDBC- oder ODBC-Verbindungszeichenfolge, um mit Ihrem SQL-Client-Tool eine Verbindung zu Ihrer Arbeitsgruppe herzustellen. Sie finden die Verbindungszeichenfolge in der Amazon-Redshift-Serverless-Konsole auf der Detailseite einer Arbeitsgruppe.

Verbinden mit Amazon Redshift Serverless über die Daten-API

Sie können die Amazon-Redshift-Daten-API auch verwenden, um eine Verbindung mit Amazon Redshift Serverless herzustellen. Verwenden Sie den Parameter workgroup-name anstelle des Parameters cluster-identifier in Ihren AWS CLI-Aufrufen.

Weitere Informationen zur Daten-API finden Sie unter Verwenden der Amazon Redshift Data API. Codebeispiele zum Aufrufen der Data API finden Sie unter Erste Schritte mit der Redshift Data API und in den Ordnern quick-start und use-cases in GitHub.

Verbinden mit Amazon Redshift Serverless über SSL

Konfigurieren einer sicheren Verbindung zu Amazon Redshift Serverless

Um SSL-Verbindungen zu unterstützen, erstellt und installiert Redshift Serverless für jede Arbeitsgruppe ein von AWS Certificate Manager (ACM) ausgegebenes SSL-Zertifikat. ACM-Zertifikaten wird von den meisten Betriebssystemen, Webbrowsern und Clients öffentlich vertraut. Sie müssen unter Umständen ein Zertifikatspaket herunterladen, wenn Ihre SQL-Clients oder -Anwendungen eine SSL-Verbindung zu Redshift Serverless herstellen und die Verbindungsoption sslmode auf require, verify-ca oder verify-full festgelegt ist. Wenn Ihr Kunde ein Zertifikat benötigt, stellt Redshift Serverless wie folgt ein Zertifikatspaket zur Verfügung:

Standardmäßig akzeptieren Arbeitsgruppendatenbanken Verbindungen unabhängig davon, ob es sich um SSL-Verbindungen handelt oder nicht.

Um eine neue Arbeitsgruppe zu erstellen, die nur SSL-Verbindungen akzeptiert, verwenden Sie den Befehl create-workgroup und legen den Parameter require_ssl auf true fest. Um das folgende Beispiel zu verwenden, ersetzen Sie yourNamespaceName durch den Namen Ihres Namespace und yourWorkgroupName durch den Namen Ihrer Arbeitsgruppe.

aws redshift-serverless create-workgroup \
--namespace-name yourNamespaceName \
--workgroup-name yourWorkgroupName \
--config-parameters parameterKey=require_ssl,parameterValue=true

Um eine vorhandene Arbeitsgruppe so zu aktualisieren, dass sie nur SSL-Verbindungen akzeptiert, verwenden Sie den Befehl update-workgroup und legen den Parameter require_ssl auf true fest. Beachten Sie, dass Redshift Serverless Ihre Arbeitsgruppe neu startet, wenn Sie den Parameter require_ssl aktualisieren. Um das folgende Beispiel zu verwenden, ersetzen Sie yourWorkgroupName durch den Namen Ihrer Arbeitsgruppe.

aws redshift-serverless update-workgroup \
--workgroup-name yourWorkgroupName \
--config-parameters parameterKey=require_ssl,parameterValue=true

Amazon Redshift unterstützt das Elliptic Curve Diffie–Hellman Ephemeral (ECDHE) Key Agreement-Protokoll. Mit ECDHE besitzen sowohl der Client als auch der Server ein öffentlich-privates Elliptic Curve-Schlüsselpaar, das verwendet wird, um ein gemeinsames Geheimnis über einen nicht sicheren Kanal einzurichten. Sie müssen nichts in Amazon Redshift konfigurieren, um ECDHE zu aktivieren. Wenn Sie sich von einem SQL-Client-Tool aus verbinden, das ECDHE verwendet, um die Kommunikation zwischen dem Client und dem Server zu verschlüsseln, verwendet Amazon Redshift die angegebene Verschlüsselungsliste, um die entsprechende Verbindung herzustellen. Weitere Informationen finden Sie unter Diffie-Hellman-Schlüsselaustausch auf Wikipedia und Ciphers (Verschlüsselungsverfahren) auf der OpenSSL-Website.

Konfigurieren einer FIPS-konformen SSL-Verbindung zu Amazon Redshift Serverless

Um eine neue Arbeitsgruppe zu erstellen, die eine FIPS-konforme SSL-Verbindung verwendet, verwenden Sie den Befehl create-workgroup und legen die Parameter use_fips_ssl und require_ssl auf true fest. Um das folgende Beispiel zu verwenden, ersetzen Sie yourNamespaceName durch den Namen Ihres Namespace und yourWorkgroupName durch den Namen Ihrer Arbeitsgruppe.

aws redshift-serverless create-workgroup \
--namespace-name yourNamespaceName \
--workgroup-name yourWorkgroupName \
--config-parameters '[{"parameterKey": "require_ssl", "parameterValue": "true"}, {"parameterKey": "use_fips_ssl", "parameterValue": "true"}]'

Um eine vorhandene Arbeitsgruppe so zu aktualisieren, dass sie eine FIPS-konforme SSL-Verbindung verwendet, verwenden Sie den Befehl update-workgroup und legen die Parameter use_fips_ssl und require_ssl auf true fest. Beachten Sie, dass Redshift Serverless Ihre Arbeitsgruppe neu startet, wenn Sie den Parameter use_fips_ssl aktualisieren. Um das folgende Beispiel zu verwenden, ersetzen Sie yourWorkgroupName durch den Namen Ihrer Arbeitsgruppe.

aws redshift-serverless update-workgroup \
--workgroup-name yourWorkgroupName \
--config-parameters '[{"parameterKey": "require_ssl", "parameterValue": "true"}, {"parameterKey": "use_fips_ssl", "parameterValue": "true"}]'

Weitere Informationen zur Konfiguration von Redshift Serverless für die Verwendung von FIPS-kompatiblen Verbindungen finden Sie unter use_fips_ssl im Amazon-Redshift-Handbuch für Datenbankentwickler.

Herstellen einer Verbindung mit Amazon Redshift Serverless von einem von Amazon Redshift verwalteten VPC-Endpunkt aus

Verbinden mit Amazon Redshift Serverless von anderen VPC-Endpunkten

Informationen zur Einrichtung oder Konfiguration eines verwalteten VPC-Endpunkts für eine Arbeitsgruppe in Amazon Redshift Serverless finden Sie unter Arbeiten mit von Redshift verwalteten VPC-Endpunkten.

Verbinden mit Amazon Redshift Serverless über einen VPC-Schnittstellenendpunkt (AWS PrivateLink)

Informationen zu Verbindungen mit Amazon Redshift Serverless über einen VPC-Schnittstellenendpunkt (AWS PrivateLink) finden Sie unter Schnittstellen-VPC-Endpunkte.

Verbindungen mit Amazon Redshift Serverless über einen Redshift-VPC-Endpunkt in einem anderen Konto

Verbinden mit Amazon Redshift Serverless über einen VPC-Kreuzendpunkt

Amazon Redshift Serverless wird in einer VPC bereitgestellt. Sie können den Zugriff auf eine VPC in einem anderen Konto gewähren, um in Ihrem Konto auf Amazon Redshift Serverless zuzugreifen. Dies ist einer Verbindung über einen verwalteten VPC-Endpunkt vergleichbar. In diesem Fall stammt die Verbindung jedoch beispielsweise aus einem Datenbank-Client in einem anderen Konto. Es gibt einige Operationen, die Sie ausführen können:

Der Hauptvorteil des kontoübergreifenden Zugriffs liegt in einer einfacheren Datenbankzusammenarbeit. Benutzer müssen nicht in dem Konto bereitgestellt werden, das die Datenbank enthält, um auf sie zugreifen zu können. Dies reduziert die Zahl der Konfigurationsschritte und spart Zeit.

Erforderliche Berechtigungen für die Gewährung des Zugriffs auf eine VPC in einem anderen Konto

Um Zugriff zu gewähren oder den gewährten Zugriff zu ändern, benötigt die gewährende Person eine zugewiesene Berechtigungsrichtlinie mit den folgenden Berechtigungen:

Möglicherweise benötigen Sie weitere Berechtigungen, die in der von AWS verwalteten Richtlinie AmazonRedshiftFullAccess angegeben sind. Weitere Informationen finden Sie unter Gewähren von Berechtigungen für Amazon Redshift Serverless.

Der Gewährungsempfänger benötigt eine zugewiesene Berechtigungsrichtlinie mit den folgenden Berechtigungen:

Als bewährte Methode empfehlen wir, einer IAM-Rolle Berechtigungsrichtlinien anzufügen und sie dann nach Bedarf Benutzern und Gruppen zuzuweisen. Weitere Informationen finden Sie unter Identity and Access Management in Amazon Redshift.

Dies ist ein Beispiel für eine Ressourcenrichtlinie zur Konfiguration eines VPC-übergreifenden Zugriffs:

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "CrossAccountCrossVPCAccess",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "123456789012",
                    "234567890123"
                ]
            },
            "Action": [
                "redshift-serverless:CreateEndpointAccess",
                "redshift-serverless:UpdateEndpointAccess",
                "redshift-serverless:DeleteEndpointAccess",
                "redshift-serverless:GetEndpointAccess"
            ],
            "Resource": "arn:aws:redshift-serverless:*:*:*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": "us-east-1"
                },
                "StringLike": {
                    "aws:SourceVpc": [
                       "vpc-11223344556677889",
                       "vpc-12345678"
                    ]
                }
            }
        }
    ]
}

Die Verfahren in diesem Abschnitt setzen voraus, dass der ausführende Benutzer die entsprechenden zugewiesenen Berechtigungen besitzt, z. B. über eine zugewiesene IAM-Rolle, die diese Berechtigungen auflistet. Die Verfahren setzen auch voraus, dass der Arbeitsgruppe eine IAM-Rolle mit entsprechenden Ressourcenberechtigungen angefügt ist.

Gewährung des VPC-Zugriffs auf andere Konten über die Konsole

Dieses Verfahren zeigt die Schritte für die Konfiguration des Datenbankzugriffs, wenn Sie der Datenbankbesitzer sind und Zugriff auf die Datenbank gewähren möchten.

Wenn Sie die Änderungen speichern, wird das Konto in der Liste Gewährte Konten angezeigt. Der Eintrag zeigt die Konto-ID und die Liste der VPCs an, denen Zugriff gewährt wurde.

Der Datenbankbesitzer kann den Zugriff auf ein Konto auch widerrufen. Der Besitzer kann den Zugriff jederzeit widerrufen.

Nach der Gewährung des Zugriffs kann ein Datenbankadministrator des Gewährungsempfängers in der Konsole überprüfen, ob der Zugriff vorhanden ist.

Gewähren von Zugriff auf andere Konten über CLI-Befehle

Das Konto, das den Zugriff gewährt, muss zunächst den Zugriff auf ein anderes Konto gewähren, um eine Verbindung über put-resource-policy herzustellen. Der Datenbankbesitzer kann put-resource-policy aufrufen, um ein anderes Konto zur Erstellung von Verbindungen mit der Arbeitsgruppe zu autorisieren. Das Konto des Gewährungsempfängers kann dann create-endpoint-authorization verwenden, um über die zugelassenen VPCs Verbindungen mit der Arbeitsgruppe herzustellen.

Im Folgenden werden die Eigenschaften für put-resource-policy gezeigt, die Sie aufrufen können, um den Zugriff auf ein bestimmtes Konto und eine bestimmte VPC zuzulassen.

aws redshift-serverless put-resource-policy
--resource-arn <value> 
--policy <value>

Nach dem Aufruf des Befehls können Sie get-resource-policy unter Angabe von resource-arn aufrufen, um die Konten und VPCs mit Zugriff auf die Ressource anzuzeigen.

Der folgende Aufruf kann vom Gewährungsempfänger ausgeführt werden. Anschließend werden Informationen zum gewährten Zugriff angezeigt. Insbesondere wird eine Liste mit den VPCs zurückgegeben, denen Zugriff gewährt wurde.

aws redshift-serverless list-workgroups
--owner-account <value>

So kann der Gewährungsempfänger Informationen zu Endpunktautorisierungen aus dem gewährenden Konto erhalten. Das owner-account ist das teilende Konto. Wenn Sie dies ausführen, werden die CrossAccountVpcs für jede Arbeitsgruppe zurückgegeben. Dies ist eine Liste der zulässigen VPCs. Zur Referenz werden im Folgenden alle Eigenschaften aufgeführt, die für eine Arbeitsgruppe verfügbar sind:

Output: workgroup (Object)
workgroupId String,
workgroupArn String,
workgroupName String,
status: String,
namespaceName: String,
baseCapacity: Integer, (Not-applicable)
enhancedVpcRouting: Boolean,
configParameters: List,
securityGroupIds: List,
subnetIds: List,
endpoint: String,
publiclyAccessible: Boolean,
creationDate: Timestamp,
port: Integer,
CrossAccountVpcs: List

Weitere Ressourcen

Anweisungen für die Einrichtung Ihrer Einstellungen für den Netzwerkdatenverkehr finden Sie unter Öffentlicher Zugriff mit Konfiguration der standardmäßigen oder benutzerdefinierten Sicherheitsgruppe. In diesem Abschnitt finden Sie einen Anwendungsfall, in dem der Cluster öffentlich zugänglich ist.

Anweisungen zum Einrichten Ihrer Einstellungen für den Netzwerkdatenverkehr finden Sie unter Privater Zugriff mit Konfiguration der standardmäßigen oder benutzerdefinierten Sicherheitsgruppe. In diesem Abschnitt finden Sie einen Anwendungsfall, in dem der Cluster nicht öffentlich zugänglich ist.

Weitere Informationen zu sicheren Verbindungen mit Amazon Redshift Serverless, einschließlich der Erteilung von Berechtigungen, der Autorisierung des Zugriffs auf zusätzliche Services und der Erstellung von IAM-Rollen, finden Sie unter Identity and Access Management in Amazon Redshift Serverless.