Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Einrichten Ihrer Umgebung für Amazon RDS Custom for SQL Server

Bevor Sie eine DB-Instance für Amazon RDS Custom for SQL Server DB-Instance erstellen und verwalten, müssen Sie die folgenden Aufgaben ausführen.

Voraussetzungen für das Einrichten von RDS Custom für SQL Server

Stellen Sie vor dem Erstellen einer DB-Instance von RDS Custom for SQL Server sicher, dass Ihre Umgebung die in diesem Thema beschriebenen Anforderungen erfüllt. Sie können die CloudFormation Vorlage auch verwenden, um die Voraussetzungen in Ihrem einzurichten AWS-Konto. Weitere Informationen finden Sie unter Konfiguration mit AWS CloudFormation.

Für RDS Custom for SQL Server müssen Sie die folgenden Voraussetzungen konfigurieren:

Allgemeine Anforderungen, die für RDS Custom for SQL Server gelten, finden Sie unter Allgemeine Anforderungen für RDS Custom for SQL Server.

Automatisierte Erstellung von Instanzprofilen mit dem AWS Management Console

Bei RDS Custom müssen Sie ein Instanzprofil erstellen und konfigurieren, um eine beliebige DB-Instance von RDS Custom for SQL Server zu starten. Verwenden Sie das AWS Management Console , um in einem einzigen Schritt ein neues Instanzprofil zu erstellen und anzuhängen. Diese Option ist im Abschnitt Benutzerdefinierte RDS-Sicherheit auf den Konsolenseiten Datenbank erstellen, Snapshot wiederherstellen und Zu einem bestimmten Zeitpunkt wiederherstellen verfügbar. Wählen Sie Neues Instanzprofil erstellen aus, um ein Namenssuffix für das Instanzprofil anzugeben. Das AWS Management Console erstellt ein neues Instanzprofil mit den Berechtigungen, die für benutzerdefinierte RDS-Automatisierungsaufgaben erforderlich sind. Um automatisch neue Instanzprofile zu erstellen, muss Ihr angemeldeter AWS Management Console Benutzer über die Berechtigungeniam:CreateInstanceProfile, iam:AddRoleToInstanceProfileiam:CreateRole, und verfügen. iam:AttachRolePolicy

Schritt 1: Erteilen Sie Ihrem IAM-Principal die erforderlichen Berechtigungen

Stellen Sie sicher, dass Sie über ausreichende Zugriffsrechte verfügen, um eine benutzerdefinierte RDS-Instanz zu erstellen. Die IAM-Rolle oder der IAM-Benutzer (als IAM-Prinzipal bezeichnet) für die Erstellung einer RDS Custom for SQL Server-DB-Instance mithilfe der Konsole oder CLI muss über eine der folgenden Richtlinien verfügen, damit die DB-Instance erfolgreich erstellt werden kann:

Die folgende Beispiel-JSON-Richtlinie gewährt die erforderlichen Berechtigungen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

Der IAM-Principal benötigt die folgenden zusätzlichen Berechtigungen, um mit benutzerdefinierten Engine-Versionen (CEVs) arbeiten zu können:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ConfigureKmsKeyEncryptionPermission",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo",
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:region:account_id:key/key_id"
        },
        {
            "Sid": "CreateEc2Instance",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:RunInstances",
                "ec2:CreateTags"
            ],
            "Resource": "*"
        }
    ]
}

Ersetzen Sie account_id durch die ID des Kontos, mit dem Sie Ihre Instanz erstellen. Ersetzen Sie region durch die, die AWS-Region Sie zum Erstellen Ihrer Instanz verwenden. Ersetzen Sie key_id durch Ihre vom Kunden verwaltete Schlüssel-ID. Sie können nach Bedarf mehrere Schlüssel hinzufügen.

Weitere Informationen zu den Berechtigungen auf Ressourcenebene, die zum Starten einer EC2-Instance erforderlich sind, finden Sie unter Launch instances (). RunInstances

Außerdem erfordert der IAM-Prinzipal die iam:PassRole-Berechtigung für die IAM-Rolle. Diese muss an das Instance-Profil angehängt werden, das im custom-iam-instance-profile-Parameter in der Anforderung übergeben wird, um die RDS-Custom-DB-Instance zu erstellen. Das Instance-Profil und seine angehängte Rolle werden später in Schritt 2: Netzwerk, Instanzprofil und Verschlüsselung konfigurieren erstellt.

Schritt 2: Netzwerk, Instanzprofil und Verschlüsselung konfigurieren

Sie können Ihre IAM-Instanzprofilrolle, Ihre Virtual Private Cloud (VPC) und Ihren AWS KMS symmetrischen Verschlüsselungsschlüssel mithilfe eines der folgenden Prozesse konfigurieren:

Konfiguration mit AWS CloudFormation

Um die Einrichtung zu vereinfachen, können Sie eine AWS CloudFormation Vorlagendatei verwenden, um einen CloudFormation Stapel zu erstellen. Eine CloudFormation Vorlage erstellt alle Netzwerk-, Instanzprofile und Verschlüsselungsressourcen gemäß den Anforderungen von RDS Custom.

Informationen zum Erstellen von Stacks finden Sie im AWS CloudFormation Benutzerhandbuch unter Erstellen eines Stacks auf der AWS CloudFormation Konsole.

Ein Tutorial zum Starten von Amazon RDS Custom for SQL Server mithilfe einer AWS CloudFormation Vorlage finden Sie unter Erste Schritte mit Amazon RDS Custom for SQL Server unter Verwendung einer AWS CloudFormation Vorlage im AWS Datenbank-Blog.

Parameter, die benötigt werden von CloudFormation

Die folgenden Parameter sind erforderlich, um die erforderlichen Ressourcen für RDS Custom zu konfigurieren CloudFormation:

Laden Sie die AWS CloudFormation Vorlagendatei herunter

Konfiguration von Ressourcen mit CloudFormation

CloudFormation erstellt die Ressourcen, die RDS Custom for SQL Server benötigt. Wenn die Stack-Erstellung fehlschlägt, rufen Sie die Seite Events (Ereignisse) auf, um zu sehen, welche Ressourcenerstellung mit welchem Statusgrund fehlgeschlagen.

Die Registerkarte Ausgaben für diesen CloudFormation Stack in der Konsole sollte Informationen über alle Ressourcen enthalten, die als Parameter für die Erstellung einer RDS Custom for SQL Server-DB-Instance übergeben werden müssen. Stellen Sie sicher, dass Sie die VPC-Sicherheitsgruppe und die DB-Subnetzgruppe verwenden, die von CloudFormation for RDS Custom DB-Instances erstellt wurden. Standardmäßig versucht RDS, die VPC-Standardsicherheitsgruppe anzuhängen, die möglicherweise nicht den benötigten Zugriff hat.

Wenn Sie früher CloudFormation Ressourcen erstellt haben, können Sie das überspringen. Manuelles Konfigurieren

Manuelles Konfigurieren

Wenn Sie Ressourcen manuell konfigurieren möchten, gehen Sie wie folgt vor.

Stellen Sie sicher, dass Sie über einen symmetrischen AWS KMS Verschlüsselungsschlüssel verfügen

Für RDS Custom AWS KMS key ist eine symmetrische Verschlüsselung erforderlich. Wenn Sie eine RDS Custom for SQL Server-DB-Instance erstellen, stellen Sie sicher, dass Sie die KMS-Schlüssel-ID als Parameter angebenkms-key-id. Weitere Informationen finden Sie unter Eine DB-Instance für Amazon RDS Custom for SQL Server erstellen und eine Verbindung zu ihr herstellen.

Ihnen stehen folgende Optionen zur Verfügung:

Stellen Sie sicher, dass Ihr symmetrischer Verschlüsselungsschlüssel Zugriff auf die kms:Decrypt und kms:GenerateDataKey -Operationen der AWS Identity and Access Management (IAM-) Rolle in Ihrem IAM-Instanzprofil gewährt. Wenn Sie einen neuen symmetrischen Verschlüsselungsschlüssel in Ihrem Konto haben, sind keine Änderungen erforderlich. Stellen Sie andernfalls sicher, dass die Richtlinie Ihres symmetrischen Verschlüsselungsschlüssels Zugriff auf diese Operationen erteilt.

Weitere Informationen finden Sie unter Schritt 4: Konfigurieren Sie IAM für RDS Custom für Oracle.

Erstellen Ihrer IAM-Rolle und Ihres Instance-Profils

Sie können manuell ein Instance-Profil erstellen und es verwenden, um benutzerdefinierte RDS-Instances zu starten. Wenn Sie planen, die Instanz in zu erstellen AWS Management Console, überspringen Sie diesen Abschnitt. Das AWS Management Console ermöglicht es Ihnen, ein Instance-Profil zu erstellen und an Ihre RDS Custom DB-Instances anzuhängen. Weitere Informationen finden Sie unter Automatisierte Erstellung von Instanzprofilen mit dem AWS Management Console.

Wenn Sie manuell ein Instanzprofil erstellen, übergeben Sie den Namen des Instanzprofils als custom-iam-instance-profile Parameter an Ihren create-db-instance CLI-Befehl. RDS Custom verwendet die diesem Instanzprofil zugeordnete Rolle, um die Automatisierung zur Verwaltung der Instanz auszuführen.

Erstellen Sie die AWSRDSCustomSQLServerInstanceRole IAM-Rolle

Im folgenden Beispiel wird eine AWSRDSCustomSQLServerInstanceRole-Rolle erstellt. Mithilfe der Vertrauensrichtlinie können Amazon EC2 die Rolle übernehmen.

aws iam create-role \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --assume-role-policy-document '{
        "Version": "2012-10-17",
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": "ec2.amazonaws.com"
              }
            }
          ]
        }'

Fügen Sie eine Zugriffsrichtlinie hinzu zu AWSRDSCustomSQLServerInstanceRole

Um die erforderlichen Berechtigungen bereitzustellen, hängen Sie die AWS verwaltete Richtlinie AmazonRDSCustomInstanceProfileRolePolicy an anAWSRDSCustomSQLServerInstanceRole. AmazonRDSCustomInstanceProfileRolePolicyermöglicht benutzerdefinierten RDS-Instances das Senden und Empfangen von Nachrichten sowie das Ausführen verschiedener Automatisierungsaktionen.

Im folgenden Beispiel wird der AWSRDSCustomSQLServerInstanceRole Rolle eine AWS verwaltete Richtlinie AWSRDSCustomSQLServerIamRolePolicy angehängt.

aws iam attach-role-policy \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonRDSCustomInstanceProfileRolePolicy

Erstellen Sie Ihr RDS Custom for SQL Server-Instanzprofil

Ein Instance-Profil ist ein Container, der eine einzelne IAM-Rolle enthält. RDS Custom verwendet das Instance-Profil, um die Rolle der Instance zu übergeben.

Wenn Sie die verwenden, AWS Management Console um eine Rolle für Amazon EC2 zu erstellen, erstellt die Konsole automatisch ein Instance-Profil und weist diesem bei der Erstellung der Rolle denselben Namen zu. Erstellen Sie Ihr Instanzprofil wie folgt und benennen Sie es AWSRDSCustomSQLServerInstanceProfile.

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile

Fügen Sie AWSRDSCustomSQLServerInstanceRole es Ihrem Instanzprofil RDS Custom for SQL Server hinzu

Fügen Sie die AWSRDSCustomInstanceRoleForRdsCustomInstance Rolle dem zuvor erstellten AWSRDSCustomSQLServerInstanceProfile Profil hinzu.

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile \
    --role-name AWSRDSCustomSQLServerInstanceRole

Konfigurieren Ihrer VPC manuell

Ihre RDS-Custom-DB-Instance befindet sich in einer virtuellen privaten Cloud (VPC), die auf dem Amazon-VPC-Service basiert, genau wie eine Amazon-EC2-Instance oder eine Amazon-RDS-Instance. Sie stellen Ihre eigene VPC zur Verfügung und konfigurieren sie. Somit haben Sie die volle Kontrolle über Ihr Instanznetzwerk-Setup.

RDS Custom sendet Kommunikation von Ihrer DB-Instance an andere AWS-Services. Stellen Sie sicher, dass von dem Subnetz aus, in dem Sie Ihre benutzerdefinierten RDS-DB-Instances erstellen, auf die folgenden Dienste zugegriffen werden kann:

Bei der Erstellung von Multi-AZ-Bereitstellungen

Wenn RDS Custom nicht mit den erforderlichen Diensten kommunizieren kann, werden die folgenden Ereignisse veröffentlicht:

Database instance in incompatible-network. SSM Agent connection not available. Amazon RDS can't connect to the dependent AWS services.

Database instance in incompatible-network. Amazon RDS can't connect to dependent AWS services. Make sure port 443 (HTTPS) allows outbound connections, and try again. "Failed to connect to the following services: s3 events"

Um incompatible-network Fehler zu vermeiden, stellen Sie sicher, dass die VPC-Komponenten, die an der Kommunikation zwischen Ihrer RDS Custom DB-Instance beteiligt sind, die folgenden Anforderungen AWS-Services erfüllen:

Wenn Sie eine VPC bereits für eine andere DB-Engine von RDS Custom konfiguriert haben, können Sie diese VPC wiederverwenden und diesen Prozess überspringen.

Konfigurieren Sie Ihre VPC-Sicherheitsgruppen wie folgt:

Eine Sicherheitsgruppe dient als virtuelle Firewall für Ihre VPC-Instance zur Steuerung von ein- und ausgehendem Datenverkehr. Einer RDS Custom DB-Instance ist eine Sicherheitsgruppe an die Netzwerkschnittstelle angehängt, die die Instance schützt. Stellen Sie sicher, dass Ihre Sicherheitsgruppe Datenverkehr zwischen RDS Custom und anderen AWS-Services über HTTPS zulässt. Sie übergeben diese Sicherheitsgruppe als vpc-security-group-ids Parameter in der Anfrage zur Instanzerstellung.

Weitere Informationen zu VPC-Sicherheitsgruppen finden Sie unter Sicherheitsgruppen für Ihre VPC im Amazon-VPC-Benutzerhandbuch.

Konfigurieren Sie Endpunkte für abhängige AWS-Services

Wir empfehlen Ihnen, Ihrer VPC Endpunkte für jeden Dienst mit den folgenden Anweisungen hinzuzufügen. Sie können jedoch jede Lösung verwenden, mit der Ihre VPC mit AWS Service-Endpunkten kommunizieren kann. Zum Beispiel können Sie Network Address Translation (NAT) oder AWS Direct Connect nutzen.

In der folgenden Tabelle wird erläutert, wie Sie die Liste der Endpunkte finden, die Ihre VPC für ausgehende Kommunikation benötigt.

Konfigurieren des Instance-Metadaten-Service

Stellen Sie folgendermaßen sicher, dass die EC2-Instance eine Verbindung zu herstellen kann:

Weitere Informationen finden Sie unter Verwenden von IMDSv2 im Amazon EC2 EC2-Benutzerhandbuch.

Instanzübergreifende Einschränkung

Wenn Sie mithilfe der oben genannten Schritte ein Instanzprofil erstellen, verwendet es die AWS verwaltete Richtlinie, AmazonRDSCustomInstanceProfileRolePolicy um RDS Custom die erforderlichen Berechtigungen bereitzustellen, wodurch die Instanzverwaltung und -überwachung automatisiert werden können. Die verwaltete Richtlinie stellt sicher, dass die Berechtigungen nur den Zugriff auf die Ressourcen ermöglichen, die RDS Custom für die Ausführung der Automatisierung benötigt. Wir empfehlen, die verwaltete Richtlinie zu verwenden, um neue Funktionen zu unterstützen und Sicherheitsanforderungen zu erfüllen, die automatisch und ohne manuelles Eingreifen auf bestehende Instanzprofile angewendet werden. Weitere Informationen finden Sie unter AWS verwaltete Richtlinie: AmazonRDSCusto m. InstanceProfileRolePolicy

Die AmazonRDSCustomInstanceProfileRolePolicy verwaltete Richtlinie schränkt den kontoübergreifenden Zugriff des Instance-Profils ein, ermöglicht aber möglicherweise den Zugriff auf einige von RDS Custom verwaltete Ressourcen für RDS Custom-Instances innerhalb desselben Kontos. Je nach Ihren Anforderungen können Sie Berechtigungsgrenzen verwenden, um den instanzübergreifenden Zugriff weiter einzuschränken. Berechtigungsgrenzen definieren die maximalen Berechtigungen, die die identitätsbasierten Richtlinien einer Entität gewähren können, gewähren aber selbst keine Berechtigungen. Weitere Informationen finden Sie unter Bewertung effektiver Berechtigungen mit Grenzen.

Die folgende Richtlinie schränkt beispielsweise die Instanzprofilrolle auf den Zugriff auf einen bestimmten AWS KMS Schlüssel ein und beschränkt den Zugriff auf von RDS Custom verwaltete Ressourcen auf Instances, die unterschiedliche AWS KMS Schlüssel verwenden.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOtherKmsKeyAccess",
            "Effect": "Deny",
            "Action": "kms:*",
            "NotResource": "arn:aws:kms:region:acct_id:key/KMS_key_ID"
        },
        {
            "Sid": "NoBoundarySetByDefault",
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}