Comment puis-je résoudre les problèmes de connexion à mon instance de base de données Amazon RDS ?

Lecture de 8 minute(s)

Je n’arrive pas à me connecter à mon instance de base de données Amazon Relational Database Service (Amazon RDS).

Brève description

Les raisons les plus courantes qui bloquent votre connexion à votre instance de base de données Amazon RDS sont les suivantes :

L’instance de base de données Amazon RDS est dans un état autre que disponible et ne peut donc pas accepter de connexions.
La source à partir de laquelle vous vous connectez à l’instance de base de données ne dispose pas d’un accès autorisé dans votre groupe de sécurité, vos listes de contrôle d’accès (ACL) réseau ou vos pare-feux locaux.
Vous utilisez un nom DNS ou un point de terminaison erroné pour vous connecter à l’instance de base de données.
L’instance de base de données Multi-AZ a échoué, et l’instance de base de données secondaire utilise un sous-réseau ou une table de routage qui n’autorise pas les connexions entrantes.
L'authentification utilisateur est incorrecte.

Résolution

Utilisez une ou plusieurs des méthodes suivantes pour résoudre votre problème de connexion.

Utiliser un dossier d’exploitation d'automatisation

Utilisez le document AWS Systems Manager Automation AWSSupport-TroubleshootConnectivityToRDS pour aider au diagnostic du problème.

Ce document d’automatisation permet de diagnostiquer les ACL réseau en fonction de l’adresse IP principale de l’instance Amazon Elastic Compute Cloud (Amazon EC2). Cependant, les ports éphémères ne sont pas vérifiés. Le document d’automatisation vérifie également les groupes de sécurité en fonction de l’adresse IP principale de l’instance Amazon EC2, mais cette automatisation ne vérifie pas de ports spécifiques. Pour plus d'informations, consultez la section Exécuter une opération automatique optimisée par Systems Manager Automation.

Pour obtenir des instructions sur la procédure d’exécution du dossier d’exploitation et des détails sur les éléments qu'il vérifie, consultez la section AWSSupport-TroubleshootConnectivityToRDS.

Lorsque l'automatisation est terminée, consultez la section Sorties pour obtenir des résultats détaillés. Si le dossier d’exploitation ne parvient pas à identifier le problème, passez aux étapes manuelles suivantes.

Vérifier que votre instance de base de données est à l’état disponible

Si vous avez récemment lancé ou redémarré votre instance de base de données, vérifiez que celle-ci présente l’état disponible dans la console Amazon RDS. Selon la taille de votre instance de base de données, il peut s'écouler jusqu'à 20 minutes avant que l'instance de base de données ne soit disponible pour les connexions réseau. Si votre instance de base de données est à l’état échec, consultez la section Pourquoi mon instance de base de données Amazon RDS présente-t-elle l’état échec ?

Vérifier que votre instance de base de données autorise les connexions

Vérifiez que le trafic provenant de la source qui se connecte à votre instance de base de données n'est pas bloqué par une ou plusieurs des exigences de configuration suivantes :

Tout groupe de sécurité Virtual Private Cloud (VPC) Amazon associé à l’instance de base de données. Ajoutez des règles au groupe de sécurité associé au VPC qui autorisent le trafic lié à la source à entrer et à sortir de l’instance de base de données. Vous pouvez spécifier une adresse IP, une plage d’adresses IP ou un autre groupe de sécurité VPC. Pour obtenir des informations générales sur les instances de base de données et le VPC, consultez la page Scénarios d’accès à une instance de base de données dans un VPC.
Tout groupe de sécurité de base de données associé à l’instance de base de données. Si l’instance de base de données ne se trouve pas dans un VPC, il se peut qu’elle utilise un groupe de sécurité de base de données pour gérer le trafic. Mettez à jour votre groupe de sécurité de base de données pour autoriser le trafic provenant de la plage d’adresses IP ou du groupe de sécurité Amazon EC2 que vous utilisez pour vous connecter.
Connexions extérieures à un VPC. Assurez-vous que l'instance de base de données est accessible au public et qu'elle est associée à un sous-réseau public. Par exemple, la table de routage autorise l'accès depuis une passerelle Internet. Pour en savoir plus, consultez la section Scénarios d’accès à une instance de base de données dans un VPC.
Pour les instances de base de données situées dans un sous-réseau privé, utilisez l’appairage de VPC ou l’AWS Site-to-Site VPN pour vous connecter en toute sécurité à votre instance. Avec le VPN site à site, vous configurez une passerelle client qui vous permet de connecter votre VPC à votre réseau distant. Utilisez l’appairage de VPC pour créer une connexion d’appairage entre votre VPC source et le VPC de votre instance afin d’accéder à l’instance en dehors du VPC associé. Vous pouvez également utiliser une instance Amazon EC2 comme hôte bastion (rebond).
ACL réseau. Les ACL réseau agissent comme un pare-feu pour les ressources d’un sous-réseau spécifique dans un VPC. Pour les ACL dans votre VPC, assurez-vous qu’elles disposent de règles autorisant le trafic entrant et sortant à destination et en provenance de l’instance de base de données.
Pare-feu réseau ou locaux. Vérifiez auprès de votre administrateur réseau que votre réseau autorise le trafic à destination et en provenance des ports utilisés par l’instance de base de données pour les communications entrantes et sortantes.
Remarque : Amazon RDS n’accepte pas le trafic ICMP (Internet Control Message Protocol), y compris le ping.

Problèmes potentiels liés au nom DNS ou au point de terminaison

Lorsque vous vous connectez à votre instance de base de données, vous utilisez un nom DNS (point de terminaison) fourni par la console Amazon RDS. Veillez à utiliser le point de terminaison approprié. Vous devez également fournir le point de terminaison dans le format adapté au client que vous utilisez pour vous connecter à l’instance de base de données. Pour en savoir plus sur les connexions au moteur de base de données et sur l’utilisation d’un point de terminaison dans diverses applications clientes, consultez la section Mise en route avec Amazon RDS.

Par exemple, utilisez la commande nslookup pour accéder au point de terminaison de l’instance de base de données à partir d’une instance EC2 au sein du VPC.

nslookup myexampledb.xxxx.us-east-1.rds.amazonaws.com
Server: xx.xx.xx.xx
Address: xx.xx.xx.xx#53

Exemple de réponse ne faisant pas autorité :

Name: myexampledb.xxxx.us-east-1.rds.amazonaws.com
Address: 172.31.xx.x

Problèmes au niveau de la base de données

Vérifiez que les paramètres suivants au niveau de la base de données sont correctement configurés :

Vous disposez du nom d'utilisateur et du mot de passe corrects pour accéder à l'instance depuis votre client de base de données.
L’utilisateur dispose des autorisations de base de données nécessaires pour se connecter à l’instance de base de données.
Il n’existe aucun problème de limitation des ressources dans Amazon RDS, tel qu’un problème de processeur ou de mémoire. La contention de mémoire peut entraîner des problèmes lorsque vous établissez de nouvelles connexions à l'instance.
Vérifiez que l’instance n’a pas atteint la limite max_connections.

Vérifier les tables de routage associées à l’instance

Vérifiez que les sous-réseaux associés à chaque instance de base de données sont associés aux mêmes tables de routage ou à des tables de routage similaires. Si votre instance de base de données principale bascule vers un réplica de secours associé à une autre table de routage, le trafic risque de ne pas être acheminé correctement. Même si ce trafic était précédemment acheminé correctement, il est possible que cela ne soit plus le cas.

Pour plus d'informations, consultez la section Configurer les tables de routage. Pour plus d'informations, consultez la section Configuration et gestion d'un déploiement multi-AZ pour Amazon RDS.

Remarque : Si vous parvenez à vous connecter à votre instance de base de données, mais que vous obtenez des erreurs, consultez la section Comment puis-je réinitialiser le mot de passe principal de mon instance de base de données Amazon RDS ?

Vérifier votre connectivité

Pour vérifier si votre connexion est établie, exécutez l'une des commandes suivantes :

telnet <RDS endpoint> <port number>
nc -zv <RDS endpoint> <port number>

Les commandes telnet et nc testent la connexion entre le client et le serveur. Si les commandes telnet et nc aboutissent avec succès, cela signifie qu’une connexion réseau est établie. Le problème est donc lié à l’authentification de l’utilisateur dans la base de données, par exemple au niveau du nom d’utilisateur ou du mot de passe.