要件
RDS for Db2 DB インスタンスをセルフマネージド AD ドメインに参加させる前に、次の要件を満たしていることを確認してください。
オンプレミス AD の設定
RDS for Db2 インスタンスを参加させることができるオンプレミスまたはその他のセルフマネージド Microsoft AD があることを確認してください。オンプレミス AD には以下の設定が必要です。
-
AD サイトが定義されている場合、RDS for Db2 DB インスタンスに関連付けられている VPC 内のサブネットが AD サイトで定義されていることを確認してください。VPC 内のサブネットと他の AD サイトのサブネットの間に競合がないことを確認します。
-
AD ドメインコントローラーは、Windows Server 2008 R2 以降のドメイン機能レベルを持ちます。
-
AD の完全修飾ドメイン名 (FQDN) は 47 文字以内で指定します。
ネットワーク接続の設定
以下のネットワーク要件を満たしていることを確認してください。
-
RDS for Db2 DB インスタンスを作成する Amazon VPC とセルフマネージド AD の間の接続を設定します。接続は、AWS 直接接続、AWS VPN、VPC ピアリング、または AWS トランジットゲートウェイを使用して設定できます。
-
VPC セキュリティグループについては、デフォルトの VPC のデフォルトのセキュリティグループが、コンソールの RDS for Db2 DB インスタンスに既に追加されています。RDS for Db2 DB インスタンスを作成するサブネットのセキュリティグループと VPC ネットワーク ACL が、次の表に示すポートでトラフィックを許可していることを確認します。
セルフマネージド AD に必要なポート プロトコル ポート ロール TCP / UDP 53 ドメインネームシステム (DNS) TCP / UDP 88 Kerberos 認証 TCP / UDP 464 パスワードを変更 / 設定する TCP / UDP 389 Lightweight Directory Access Protocol (LDAP) -
通常、ドメイン DNS サーバーは AD ドメインコントローラーにあります。この機能を使用するために VPC DHCP オプションセットを設定する必要はありません。詳細については、「Amazon VPC ユーザーガイド」の「DHCP オプションセット」を参照してください。
重要
VPC ネットワーク ACL を使用している場合は、RDS for Db2 DB インスタンスからのダイナミックポート (49152-65535) でのアウトバウンドトラフィックも許可する必要があります。これらのトラフィックルールが、AD ドメインコントローラー、DNS サーバー、RDS for Db2 DB インスタンスのそれぞれに適用されるファイアウォールにもミラーリングされていることを確認します。
VPC セキュリティグループでは、ネットワークトラフィックが発生する方向でのみポートを開く必要があります。ただし、ほとんどの Windows ファイアウォールと VPC ネットワーク ACL では、両方向にポートを開く必要があります。
AD ドメインサービスアカウントの設定
AD ドメインサービスアカウントが次の要件を満たしていることを確認してください。
-
セルフマネージド AD ドメインに、専用の組織単位 (OU) でユーザーオブジェクトを作成および管理するための委任されたアクセス許可を持つドメインサービスアカウントがあることを確認します。ドメインサービスアカウントは、特定のタスクを実行するアクセス許可を委任されたセルフマネージド AD のユーザーアカウントです。
-
ドメインサービスアカウントには、RDS for Db2 DB インスタンスを参加させる OU の以下のアクセス許可を委任する必要があります。
-
ユーザーオブジェクトを作成および削除する
-
パスワードのリセット
-
msDS-SupportedEncryptionTypesの読み取りと書き込み -
servicePrincipalNameの読み取りと書き込み
これらのアクセス許可を設定するステップバイステップの手順については、「ステップ 3: AD ドメインサービスアカウントに制御を委任する」を参照してください。
-
重要
DB インスタンスの作成後に RDS for Db2 が組織単位に作成したユーザーオブジェクトを移動しないでください。関連付けられたオブジェクトを移動すると、RDS for Db2 DB インスタンスの設定が正しくなくなります。Amazon RDS によって作成されたユーザーオブジェクトを移動する必要がある場合は、ModifyDBInstance API オペレーションを使用して、ユーザーオブジェクトの目的の場所にドメインパラメータを変更します。
