Menyiapkan lingkungan Anda untuk Amazon RDS Custom for SQL Server

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Sebelum Anda membuat dan mengelola instans DB untuk instans DB Amazon RDS Custom for SQL Server, pastikan untuk melakukan tugas-tugas berikut.

Prasyarat untuk menyiapkan RDS Custom for SQL Server

Sebelum membuat instans DB RDS Custom for SQL Server, pastikan lingkungan Anda memenuhi persyaratan yang dijelaskan dalam topik ini. Anda juga dapat menggunakan CloudFormation template untuk mengatur prasyarat dalam Anda. Akun AWS Untuk informasi selengkapnya, silakan lihat Mengkonfigurasi dengan AWS CloudFormation

Kustom RDS untuk SQL Server mengharuskan Anda mengonfigurasi prasyarat berikut:

Untuk persyaratan umum yang berlaku untuk RDS Custom for SQL Server, lihat Persyaratan umum untuk RDS Custom for SQL Server.

Pembuatan profil instans otomatis menggunakan AWS Management Console

RDS Custom mengharuskan Anda membuat dan mengonfigurasi profil instans untuk meluncurkan instans RDS Custom for SQL Server DB apa pun. Gunakan AWS Management Console untuk membuat dan melampirkan profil instance baru dalam satu langkah. Opsi ini tersedia di bawah bagian Keamanan kustom RDS di halaman Buat database, Kembalikan snapshot, dan Kembalikan ke titik di halaman konsol waktu. Pilih Buat profil instance baru untuk memberikan akhiran nama profil instance. AWS Management Console Membuat profil instance baru yang memiliki izin yang diperlukan untuk tugas otomatisasi Kustom RDS. Untuk membuat profil instans baru secara otomatis, AWS Management Console pengguna yang masuk harus memilikiiam:CreateInstanceProfile,, iam:AddRoleToInstanceProfileiam:CreateRole, dan izin. iam:AttachRolePolicy

Langkah 1: Berikan izin yang diperlukan untuk kepala sekolah IAM Anda

Pastikan Anda memiliki akses yang cukup untuk membuat instance RDS Custom. Peran IAM atau pengguna IAM (disebut sebagai prinsipal IAM) untuk membuat instans RDS Custom for SQL Server DB menggunakan konsol atau CLI harus memiliki salah satu dari kebijakan berikut untuk pembuatan instans DB yang berhasil:

Contoh kebijakan JSON berikut memberikan izin yang diperlukan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

Prinsipal IAM memerlukan izin tambahan berikut untuk bekerja dengan versi mesin khusus ()CEVs:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ConfigureKmsKeyEncryptionPermission",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo",
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:region:account_id:key/key_id"
        },
        {
            "Sid": "CreateEc2Instance",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:RunInstances",
                "ec2:CreateTags"
            ],
            "Resource": "*"
        }
    ]
}

Ganti account_id dengan ID akun yang Anda gunakan untuk membuat instance Anda. Ganti region dengan yang Wilayah AWS Anda gunakan untuk membuat instance Anda. Ganti key_id dengan ID kunci terkelola pelanggan Anda. Anda dapat menambahkan beberapa kunci sesuai kebutuhan.

Untuk informasi selengkapnya tentang izin tingkat sumber daya yang diperlukan untuk meluncurkan EC2 instance, lihat Meluncurkan instance (). RunInstances

Selain itu, prinsipal IAM memerlukan izin iam:PassRole pada peran IAM. Izin ini harus dilampirkan ke profil instans yang diteruskan dalam parameter custom-iam-instance-profile dalam permintaan untuk membuat instans DB RDS Custom. Profil instans dan peran terlampirnya dibuat nanti dalam Langkah 2: Konfigurasikan jaringan, profil contoh, dan enkripsi.

Langkah 2: Konfigurasikan jaringan, profil contoh, dan enkripsi

Anda dapat mengonfigurasi peran profil instans IAM, virtual private cloud (VPC), AWS KMS dan kunci enkripsi simetris dengan menggunakan salah satu dari proses berikut:

Mengkonfigurasi dengan AWS CloudFormation

Untuk menyederhanakan pengaturan, Anda dapat menggunakan file AWS CloudFormation template untuk membuat CloudFormation tumpukan. CloudFormation Template membuat semua jaringan, profil instance, dan sumber daya enkripsi sesuai dengan persyaratan RDS Custom.

Untuk mempelajari cara membuat tumpukan, lihat Membuat tumpukan di AWS CloudFormation konsol di Panduan AWS CloudFormation Pengguna.

Untuk tutorial tentang cara meluncurkan Amazon RDS Custom for SQL Server menggunakan AWS CloudFormation template, lihat Memulai Amazon RDS Custom for SQL Server menggunakan AWS CloudFormation template di Blog Database.AWS

Parameter yang dibutuhkan oleh CloudFormation

Parameter berikut diperlukan untuk mengonfigurasi sumber daya prasyarat Kustom RDS dengan: CloudFormation

Unduh file AWS CloudFormation templat

Mengkonfigurasi sumber daya menggunakan CloudFormation

CloudFormation menciptakan sumber daya yang dibutuhkan RDS Custom untuk SQL Server. Jika pembuatan tumpukan gagal, baca tab Peristiwa untuk melihat pembuatan sumber daya mana yang gagal dan alasan statusnya.

Tab Output untuk CloudFormation tumpukan ini di konsol harus memiliki informasi tentang semua sumber daya yang akan diteruskan sebagai parameter untuk membuat instance RDS Custom untuk SQL Server DB. Pastikan untuk menggunakan grup keamanan VPC dan grup subnet DB yang dibuat oleh CloudFormation untuk instans RDS Custom DB. Secara default, RDS mencoba melampirkan grup keamanan VPC default, yang mungkin tidak memiliki akses yang Anda butuhkan.

Jika Anda biasa CloudFormation membuat sumber daya, Anda dapat melewatiMengonfigurasi secara manual.

Mengonfigurasi secara manual

Jika Anda memilih untuk mengonfigurasi sumber daya secara manual, lakukan tugas berikut.

Pastikan Anda memiliki kunci enkripsi AWS KMS simetris

Enkripsi simetris AWS KMS key diperlukan untuk RDS Custom. Saat Anda membuat instance RDS Custom for SQL Server DB, pastikan untuk menyediakan pengidentifikasi kunci KMS sebagai parameter. kms-key-id Untuk informasi selengkapnya, lihat Membuat dan menghubungkan ke instans DB untuk Amazon RDS Custom for SQL Server.

Anda memiliki opsi berikut:

Pastikan kunci enkripsi simetris Anda memberikan akses ke kms:Decrypt dan kms:GenerateDataKey operasi ke peran AWS Identity and Access Management (IAM) di profil instans IAM Anda. Jika Anda memiliki kunci enkripsi simetris baru di akun Anda, perubahan tidak diperlukan. Jika tidak, pastikan kebijakan kunci enkripsi simetris Anda memberikan akses ke operasi ini.

Untuk informasi selengkapnya, lihat Langkah 4: Konfigurasikan IAM untuk RDS Custom for Oracle.

Membuat profil instans dan peran IAM Anda secara manual

Anda dapat membuat profil instans secara manual dan menggunakannya untuk meluncurkan instans RDS Custom. Jika Anda berencana untuk membuat instance di AWS Management Console, lewati bagian ini. AWS Management Console Ini memungkinkan Anda untuk membuat dan melampirkan profil instance ke instans RDS Custom DB Anda. Untuk informasi selengkapnya, lihat Pembuatan profil instans otomatis menggunakan AWS Management Console.

Saat Anda membuat profil instance secara manual, berikan nama profil instance sebagai custom-iam-instance-profile parameter ke perintah create-db-instance CLI Anda. RDS Custom menggunakan peran yang terkait dengan profil instance ini untuk menjalankan otomatisasi guna mengelola instance.

Buat peran AWSRDSCustom SQLServer InstanceRole IAM

Contoh berikut membuat peran AWSRDSCustomSQLServerInstanceRole. Kebijakan kepercayaan memungkinkan Amazon EC2 mengambil peran.

aws iam create-role \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --assume-role-policy-document '{
        "Version": "2012-10-17",
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": "ec2.amazonaws.com"
              }
            }
          ]
        }'

Menambahkan kebijakan akses ke AWSRDSCustom SQLServer InstanceRole

Untuk memberikan izin yang diperlukan, lampirkan kebijakan AWS terkelola AmazonRDSCustomInstanceProfileRolePolicy keAWSRDSCustomSQLServerInstanceRole. AmazonRDSCustomInstanceProfileRolePolicymemungkinkan instans Kustom RDS untuk mengirim dan menerima pesan, dan melakukan berbagai tindakan otomatisasi.

Contoh berikut melampirkan kebijakan AWS terkelola AWSRDSCustomSQLServerIamRolePolicy ke AWSRDSCustomSQLServerInstanceRole peran tersebut.

aws iam attach-role-policy \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonRDSCustomInstanceProfileRolePolicy

Buat profil instans RDS Custom for SQL Server

Profil instans adalah kontainer yang menyertakan peran IAM tunggal. RDS Custom menggunakan profil instans untuk meneruskan peran ke instans.

Jika Anda menggunakan AWS Management Console untuk membuat peran untuk Amazon EC2, konsol akan secara otomatis membuat profil instance dan memberinya nama yang sama dengan peran saat peran dibuat. Buat profil instans Anda sebagai berikut, dengan memberinya nama AWSRDSCustomSQLServerInstanceProfile.

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile

Tambahkan AWSRDSCustom SQLServer InstanceRole ke profil instans RDS Custom for SQL Server

Tambahkan AWSRDSCustomInstanceRoleForRdsCustomInstance peran ke AWSRDSCustomSQLServerInstanceProfile profil yang dibuat sebelumnya.

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile \
    --role-name AWSRDSCustomSQLServerInstanceRole

Mengonfigurasi VPC Anda secara manual

Instans RDS Custom DB Anda berada di cloud pribadi virtual (VPC) berdasarkan layanan VPC Amazon, seperti instans Amazon atau EC2 instans Amazon RDS. Anda menyediakan dan mengonfigurasi VPC Anda sendiri. Dengan demikian, Anda memiliki kontrol penuh atas pengaturan jaringan instans Anda.

RDS Custom mengirimkan komunikasi dari instans DB Anda ke Layanan AWS lain. Pastikan layanan berikut dapat diakses dari subnet tempat Anda membuat instans RDS Custom DB:

Jika membuat penerapan Multi-AZ

Jika RDS Custom tidak dapat berkomunikasi dengan layanan yang diperlukan, RDS Custom akan menerbitkan peristiwa berikut:

Database instance in incompatible-network. SSM Agent connection not available. Amazon RDS can't connect to the dependent AWS services.

Database instance in incompatible-network. Amazon RDS can't connect to dependent AWS services. Make sure port 443 (HTTPS) allows outbound connections, and try again. "Failed to connect to the following services: s3 events"

Untuk menghindari incompatible-network kesalahan, pastikan komponen VPC terlibat dalam komunikasi antara instans RDS Custom DB Anda dan Layanan AWS memenuhi persyaratan berikut:

Jika Anda sudah mengonfigurasi VPC untuk mesin DB RDS Custom yang berbeda, Anda dapat menggunakan kembali VPC tersebut dan melewati proses ini.

Konfigurasikan grup keamanan VPC

Grup keamanan bertindak sebagai firewall virtual untuk instans VPC, yang mengontrol lalu lintas masuk dan keluar. Instans RDS Custom DB memiliki grup keamanan yang terpasang pada antarmuka jaringannya yang melindungi instance. Pastikan grup keamanan Anda mengizinkan lalu lintas antara RDS Custom dan lainnya Layanan AWS melalui HTTPS. Anda meneruskan grup keamanan ini sebagai vpc-security-group-ids parameter dalam permintaan pembuatan instance.

Untuk informasi selengkapnya tentang grup keamanan, lihat Grup keamanan untuk VPC Anda dalam Panduan Developer Amazon VPC.

Konfigurasikan titik akhir untuk dependen Layanan AWS

Kami menyarankan Anda menambahkan titik akhir untuk setiap layanan ke VPC Anda menggunakan petunjuk berikut. Namun, Anda dapat menggunakan solusi apa pun yang memungkinkan VPC Anda berkomunikasi dengan titik akhir AWS layanan. Misalnya, Anda dapat menggunakan Network Address Translation (NAT) atau AWS Direct Connect.

Tabel berikut menjelaskan cara menemukan daftar titik akhir yang dibutuhkan VPC Anda untuk komunikasi keluar.

Konfigurasikan layanan metadata instans

Pastikan instans Anda dapat melakukan hal berikut:

Untuk informasi selengkapnya, lihat Menggunakan IMDSv2 di Panduan EC2 Pengguna Amazon.

Pembatasan lintas-instance

Saat Anda membuat profil instans dengan mengikuti langkah-langkah di atas, profil tersebut menggunakan kebijakan AWS terkelola AmazonRDSCustomInstanceProfileRolePolicy untuk memberikan izin yang diperlukan ke RDS Custom yang memungkinkan pengelolaan instans dan otomatisasi pemantauan. Kebijakan terkelola memastikan bahwa izin hanya mengizinkan akses ke sumber daya yang diperlukan RDS Custom untuk menjalankan otomatisasi. Sebaiknya gunakan kebijakan terkelola untuk mendukung fitur baru dan memenuhi persyaratan keamanan yang secara otomatis diterapkan ke profil instans yang ada tanpa intervensi manual. Untuk informasi selengkapnya, lihat kebijakan AWS terkelola: Amazon RDSCusto m InstanceProfileRolePolicy.

Kebijakan AmazonRDSCustomInstanceProfileRolePolicy terkelola membatasi profil instans agar memiliki akses lintas akun, tetapi mungkin mengizinkan akses ke beberapa sumber daya terkelola Kustom RDS di seluruh instans Kustom RDS dalam akun yang sama. Berdasarkan kebutuhan Anda, Anda dapat menggunakan batas izin untuk membatasi akses lintas instans lebih lanjut. Batas izin menentukan izin maksimum yang dapat diberikan oleh kebijakan berbasis identitas kepada entitas, tetapi tidak memberikan izin sendiri. Untuk informasi selengkapnya, lihat Mengevaluasi izin efektif dengan batasan.

Misalnya, kebijakan berikut membatasi peran profil instance untuk mengakses AWS KMS kunci tertentu dan membatasi akses ke sumber daya terkelola RDS Custom di seluruh instance yang menggunakan kunci berbeda. AWS KMS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOtherKmsKeyAccess",
            "Effect": "Deny",
            "Action": "kms:*",
            "NotResource": "arn:aws:kms:region:acct_id:key/KMS_key_ID"
        },
        {
            "Sid": "NoBoundarySetByDefault",
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}