自托管式 Active Directory 问题排查 - Amazon Relational Database Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

自托管式 Active Directory 问题排查

以下是您在设置或修改自托管式 AD 时可能遇到的问题。

错误代码 描述 常见原因 故障排除建议

错误 2/0x2

系统找不到指定的文件。

使用 —domain-ou 参数指定的组织单位（OU）的格式或位置无效。通过 Amazon Secrets Manager 指定的域服务账户缺少加入 OU 所需的权限。

查看 —domain-ou 参数。确保域服务账户拥有相应的 OU 权限。有关更多信息，请参阅 配置您的 AD 域服务账户。

错误 5/0x5

访问被拒绝。

域服务账户的权限配置不正确，或者域中已经存在该计算机账户。

查看域中的域服务账户权限，并验证 RDS 计算机账户在域中是否重复。您可以通过在 RDS for SQL Server 数据库实例上运行 SELECT @@SERVERNAME 来验证 RDS 计算机账户的名称。如果您使用的是多可用区，请尝试通过失效转移重启，然后再次验证 RDS 计算机账户。有关更多信息，请参阅 重启中的数据库实例。

错误 87/0x57

参数不正确。

通过 Amazon Secrets Manager 指定的域服务账户不具备相应的权限。用户配置文件也可能已损坏。

查看域服务账户的要求。有关更多信息，请参阅 配置您的 AD 域服务账户。

错误 234/0xEA

指定的组织单位（OU）不存在。

使用 —domain-ou 参数指定的 OU 在您的自托管式 AD 中不存在。

查看 —domain-ou 参数并确保指定的 OU 在您的自托管式 AD 中存在。

错误 1326/0x52E

用户名或密码不正确。

Amazon Secrets Manager 中提供的域服务账户凭证包含未知的用户名或错误的密码。您的自托管式 AD 中也可能已禁用域账户。

确保 Amazon Secrets Manager 中提供的凭证正确无误，并且在您的自托管式 AD 中启用了域账户。

错误 1355/0x54B

指定的域不存在或无法访问。

域已关闭、指定的 DNS IP 集无法访问，或指定的 FQDN 无法访问。

查看 —domain-dns-ips 和 —domain-fqdn 参数，确保正确。查看您的 RDS for SQL Server 数据库实例的网络配置，并确保您的自托管式 AD 可以访问。有关更多信息，请参阅 配置您的网络连接。

错误 1722/0x6BA

RPC 服务器不可用。

连接您的 AD 域的 RPC 服务时出现问题。这可能由于服务或网络问题导致。

验证 RPC 服务是否正在您的域控制器上运行，以及是否可以在您的域上从 RDS for SQL Server 数据库实例访问 TCP 端口 135 和 49152-65535。

错误 1727 / 0x6BF

远程过程调用失败且未执行。

网络连接问题或防火墙限制阻碍了与域控制器的 RPC 通信。

如果使用跨 VPC 域加入，请使用 VPC 对等连接或 Transit Gateway 验证跨 VPC 通信的设置是否正确。确保您的 RDS for SQL Server 数据库实例能访问域中的 TCP 高端口 49152-65535，包括任何可能的防火墙限制。

错误 2224/0x8b0

用户账户已存在。

正在尝试添加到您自托管式 AD 的计算机账户已经存在。

通过在您的 RDS for SQL Server 数据库实例上运行 SELECT @@SERVERNAME 来识别计算机账户，然后小心地将其从您的自托管式 AD 中删除。

错误 2242/0x8c2

此用户的密码已过期。

通过 Amazon Secrets Manager 指定的域服务账户的密码已过期。

更新用于将 RDS for SQL Server 数据库实例加入自托管式 AD 的域服务账户的密码。

将数据库实例加入自托管式 Active Directory 域后，您可能会收到与您的域运行状况相关的 RDS 事件。

Unhealthy domain state detected while attempt to verify or 
configure your Kerberos endpoint in your domain on 
node node_n. message

对于多可用区实例，您可能会注意到 node1 和 node2 的错误报告，这表明您的实例的 Kerberos 配置尚未准备好进行失效转移。在失效转移时，使用 Kerberos 可能会遇到身份验证问题。解决配置问题，确保 Kerberos 设置有效且最新。对于多可用区实例，只要所有网络和权限配置都已到位，则无需执行任何操作即可在新的主要主机上使用 Kerberos 身份验证。

对于单可用区实例，node1 是主节点。如果您的 Kerberos 身份验证未按预期运行，请检查实例事件并解决配置问题，确保 Kerberos 设置有效且最新。