Langkah 1: Buat IAM kebijakan untuk RDS peran Amazon Anda Langkah 2: (Opsional) Buat IAM kebijakan untuk bucket Amazon S3 Anda Langkah 3: Buat IAM peran untuk instans DB Anda dan lampirkan kebijakan Anda Langkah 4: Kaitkan IAM peran Anda dengan RDS instans DB Oracle

Mengkonfigurasi IAM izin RDS untuk integrasi Oracle dengan Amazon S3

RDSAgar Oracle dapat berintegrasi dengan Amazon S3, instans DB Anda harus memiliki akses ke bucket Amazon S3. Amazon yang VPC digunakan oleh instans DB Anda tidak perlu menyediakan akses ke titik akhir Amazon S3.

RDSuntuk Oracle mendukung transfer file antara instans DB dalam satu akun dan bucket Amazon S3 di akun yang berbeda. Langkah tambahan yang diperlukan akan disebutkan di bagian berikut.

Topik

Langkah 1: Buat IAM kebijakan untuk RDS peran Amazon Anda
Langkah 2: (Opsional) Buat IAM kebijakan untuk bucket Amazon S3 Anda
Langkah 3: Buat IAM peran untuk instans DB Anda dan lampirkan kebijakan Anda
Langkah 4: Kaitkan IAM peran Anda dengan RDS instans DB Oracle

Langkah 1: Buat IAM kebijakan untuk RDS peran Amazon Anda

Pada langkah ini, Anda membuat kebijakan AWS Identity and Access Management (IAM) dengan izin yang diperlukan untuk mentransfer file antara bucket Amazon S3 dan instans DB RDS Anda. Pada langkah ini, Anda dianggap telah membuat bucket S3.

Sebelum membuat kebijakan, catat potongan informasi berikut:

Nama Sumber Daya Amazon (ARN) untuk bucket Anda
AWS KMS Kunci ARN untuk Anda, jika bucket Anda menggunakan enkripsi SSE - KMS atau SSE -S3

catatan
Instans RDS untuk Oracle DB tidak dapat mengakses bucket Amazon S3 yang dienkripsi dengan -C. SSE

Untuk informasi selengkapnya, lihat Melindungi data menggunakan enkripsi sisi server dalam Panduan Pengguna Amazon Simple Storage Service.

Untuk membuat IAM kebijakan agar Amazon RDS dapat mengakses bucket Amazon S3

Buka Konsol IAM Manajemen.
Di bagian Manajemen akses, pilih Kebijakan.
Pilih Buat Kebijakan.
Pada tab Editor visual, pilih Pilih layanan, lalu pilih S3.
Untuk Tindakan, pilih Perluas semua, lalu pilih izin bucket dan izin objek yang diperlukan untuk mentransfer file dari bucket Amazon S3 ke Amazon. RDS Sebagai contoh, lakukan hal berikut:
- Perluas Daftar, lalu pilih ListBucket.
- Perluas Baca, lalu pilih GetObject.
- Perluas Tulis, lalu pilih PutObjectdan DeleteObject.
- Perluas manajemen Izin, lalu pilih PutObjectAcl. Izin ini diperlukan jika Anda ingin mengunggah file ke bucket milik akun yang berbeda, dan akun ini memerlukan kontrol penuh terhadap konten bucket.
Izin objek adalah izin untuk operasi objek di Amazon S3. Izin ini harus diberikan untuk objek di dalam bucket, bukan untuk bucket itu sendiri. Untuk informasi selengkapnya, lihat Izin untuk operasi objek.
Pilih Sumber daya, lalu lakukan hal berikut:
1. Pilih Spesifik.
2. Untuk ember, pilih Tambah ARN. Masukkan ember AndaARN. Nama bucket terisi secara otomatis. Kemudian pilih Tambahkan.
3. Jika sumber daya objek ditampilkan, pilih Tambah ARN untuk menambahkan sumber daya secara manual atau pilih Apa saja.
  
  catatan
  Anda dapat menyetel Amazon Resource Name (ARN) ke ARN nilai yang lebih spesifik RDS agar Amazon hanya dapat mengakses file atau folder tertentu di bucket Amazon S3. Untuk informasi selengkapnya tentang cara penentuan kebijakan akses untuk Amazon S3, lihat Mengelola izin akses ke sumber daya Amazon S3 Anda.
(Opsional) Pilih Tambahkan izin tambahan untuk menambahkan sumber daya ke kebijakan. Sebagai contoh, lakukan hal berikut:
1. Jika bucket Anda dienkripsi dengan KMS kunci khusus, pilih KMSlayanannya.
2. Untuk Tindakan manual, pilih opsi berikut:
  - Enkripsi
  - ReEncrypt dari dan ReEncrypt ke
  - Dekripsi
  - DescribeKey
  - GenerateDataKey
3. Untuk Sumber daya, pilih Spesifik.
4. Untuk kunci, pilih Tambah ARN. Masukkan kunci kustom Anda sebagai sumber daya, lalu pilih Tambah. ARN
  
  Untuk informasi selengkapnya, lihat Melindungi Data Menggunakan Enkripsi Sisi Server dengan KMS kunci yang Disimpan di AWS Key Management Service (SSE-KMS) di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.
5. Jika Anda ingin Amazon mengakses RDS untuk mengakses ember lain, tambahkan ARNs untuk ember ini. Jika mau, Anda juga dapat memberikan akses ke semua bucket dan objek di Amazon S3.
Pilih Berikutnya: Tag lalu Berikutnya: Tinjau.
Untuk Nama, masukkan nama untuk IAM kebijakan Anda, misalnyards-s3-integration-policy. Anda menggunakan nama ini ketika Anda membuat IAM peran untuk dikaitkan dengan instans DB Anda. Anda juga dapat menambahkan nilai Deskripsi opsional.
Pilih Buat kebijakan.

Buat kebijakan AWS Identity and Access Management (IAM) yang memberi Amazon RDS akses ke bucket Amazon S3. Setelah Anda membuat kebijakan, perhatikan kebijakan tersebut. ARN Anda membutuhkan ARN untuk langkah selanjutnya.

Sertakan tindakan yang sesuai dalam kebijakan berdasarkan jenis akses yang diperlukan:

GetObject— Diperlukan untuk mentransfer file dari bucket Amazon S3 ke Amazon. RDS
ListBucket— Diperlukan untuk mentransfer file dari bucket Amazon S3 ke Amazon. RDS
PutObject— Diperlukan untuk mentransfer file dari Amazon RDS ke ember Amazon S3.

AWS CLI Perintah berikut membuat IAM kebijakan bernama rds-s3-integration-policy dengan opsi ini. Perintah ini akan memberikan akses ke bucket bernama amzn-s3-demo-bucket.

contoh

Untuk Linux, macOS, atau Unix:


aws iam create-policy \
   --policy-name rds-s3-integration-policy \
   --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "s3integration",
         "Action": [
           "s3:GetObject",
           "s3:ListBucket",
           "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-bucket", 
           "arn:aws:s3:::amzn-s3-demo-bucket/*"
         ]
       }
     ]
   }'

Contoh berikut mencakup izin untuk KMS kunci kustom.


aws iam create-policy \
   --policy-name rds-s3-integration-policy \
   --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "s3integration",
         "Action": [
           "s3:GetObject",
           "s3:ListBucket",
           "s3:PutObject",
           "kms:Decrypt",
           "kms:Encrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey",
           "kms:DescribeKey",
         ],
         "Effect": "Allow",
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-bucket", 
           "arn:aws:s3:::amzn-s3-demo-bucket/*",
           "arn:aws:kms:::your-kms-arn"
         ]
       }
     ]
   }'

Untuk Windows:


aws iam create-policy ^
   --policy-name rds-s3-integration-policy ^
   --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "s3integration",
         "Action": [
           "s3:GetObject",
           "s3:ListBucket",
           "s3:PutObject"
         ],
         "Effect": "Allow",
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-bucket", 
           "arn:aws:s3:::amzn-s3-demo-bucket/*"
         ]
       }
     ]
   }'

Contoh berikut mencakup izin untuk KMS kunci kustom.


aws iam create-policy ^
   --policy-name rds-s3-integration-policy ^
   --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "s3integration",
         "Action": [
           "s3:GetObject",
           "s3:ListBucket",
           "s3:PutObject",
           "kms:Decrypt",
           "kms:Encrypt",
           "kms:ReEncrypt",
           "kms:GenerateDataKey",
           "kms:DescribeKey",
         ],
         "Effect": "Allow",
         "Resource": [
           "arn:aws:s3:::amzn-s3-demo-bucket", 
           "arn:aws:s3:::amzn-s3-demo-bucket/*",
           "arn:aws:kms:::your-kms-arn"
         ]
       }
     ]
   }'

Langkah 2: (Opsional) Buat IAM kebijakan untuk bucket Amazon S3 Anda

Langkah ini hanya diperlukan dalam kondisi berikut:

Anda ingin mengunggah file ke bucket Amazon S3 dari satu akun (akun A) dan mengaksesnya dari akun lain (akun B).
Akun B memiliki bucket.
Akun B memerlukan kontrol penuh atas objek yang dimasukkan ke dalam bucket tersebut.

Jika kondisi sebelumnya tidak berlaku untuk Anda, lanjutkan ke Langkah 3: Buat IAM peran untuk instans DB Anda dan lampirkan kebijakan Anda.

Untuk membuat kebijakan bucket, pastikan Anda memiliki hal berikut:

ID akun untuk akun A
Nama pengguna untuk akun A
ARNNilai untuk bucket Amazon S3 di akun B

Untuk membuat atau mengedit kebijakan bucket

Masuk ke AWS Management Console dan buka konsol Amazon S3 di. https://console.aws.amazon.com/s3/
Di daftar Bucket, pilih nama bucket yang ingin Anda buatkan kebijakan bucket atau yang kebijakan bucket-nya ingin Anda edit.
Pilih Izin.
Di bagian Kebijakan bucket, pilih Edit. Opsi ini akan membuka halaman Edit kebijakan bucket.
Pada halaman Edit kebijakan bucket, jelajahi contoh Kebijakan di Panduan Pengguna Amazon S3, pilih Pembuat kebijakan untuk membuat kebijakan secara otomatis, atau edit bagian JSON Kebijakan.

Jika Anda memilih Policy Generator, AWS Policy Generator akan terbuka di jendela baru:
1. Di halaman Pembuat Kebijakan AWS , di bagian Pilih Jenis Kebijakan, pilih Kebijakan Bucket S3.
2. Tambahkan pernyataan dengan memasukkan informasi di bidang yang tersedia, lalu pilih Tambahkan Pernyataan. Ulangi langkah ini sesuai jumlah pernyataan yang ingin Anda tambahkan. Untuk informasi selengkapnya tentang bidang ini, lihat referensi elemen IAM JSON kebijakan di Panduan IAM Pengguna.
  
  catatan
  Untuk kenyamanan, halaman kebijakan Edit bucket menampilkan Bucket ARN (Nama Sumber Daya Amazon) bucket saat ini di atas bidang teks Kebijakan. Anda dapat menyalin ini ARN untuk digunakan dalam pernyataan di halaman AWS Policy Generator.
3. Setelah Anda selesai menambahkan pernyataan, pilih Buat Kebijakan.
4. Salin teks kebijakan yang dihasilkan, pilih Tutup, dan kembali ke halaman Edit kebijakan bucket di konsol Amazon S3.

Di kotak Kebijakan, edit kebijakan yang ada atau tempel kebijakan bucket dari Pembuat kebijakan. Pastikan peringatan keamanan, kesalahan, peringatan umum, dan saran telah ditangani sebelum menyimpan kebijakan.


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Example permissions",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::account-A-ID:account-A-user"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-destination-bucket",
        "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
      ]
    }
  ]
}

Pilih Simpan perubahan, yang akan membawa Anda kembali ke halaman Izin Bucket.

Langkah 3: Buat IAM peran untuk instans DB Anda dan lampirkan kebijakan Anda

Langkah ini mengasumsikan bahwa Anda telah membuat IAM kebijakan diLangkah 1: Buat IAM kebijakan untuk RDS peran Amazon Anda. Pada langkah ini, Anda membuat peran untuk instans Oracle DB Anda RDS dan kemudian melampirkan kebijakan Anda ke peran tersebut.

Untuk membuat IAM peran agar Amazon RDS dapat mengakses bucket Amazon S3

Buka Konsol IAM Manajemen.
Di panel navigasi, pilih Peran.
Pilih Buat peran.
Pilih Layanan AWS .
Untuk kasus Penggunaan untuk AWS layanan lain:, pilih RDSdan kemudian RDS— Tambahkan Peran ke Database. Lalu pilih Berikutnya.
Untuk Penelusuran di bawah Kebijakan Izin, masukkan nama IAM kebijakan yang Anda buatLangkah 1: Buat IAM kebijakan untuk RDS peran Amazon Anda, lalu pilih kebijakan saat muncul dalam daftar. Lalu pilih Berikutnya.
Untuk nama Peran, masukkan nama untuk IAM peran Anda, misalnya,rds-s3-integration-role. Anda juga dapat menambahkan nilai Deskripsi opsional.
Pilih Buat peran.

Untuk membuat peran dan melampirkan kebijakan ke peran ini

Buat IAM peran yang RDS dapat diambil Amazon atas nama Anda untuk mengakses bucket Amazon S3 Anda.

Sebaiknya gunakan kunci konteks kondisi global aws:SourceArn dan aws:SourceAccount dalam hubungan kepercayaan berbasis sumber daya untuk membatasi izin layanan ke sumber daya tertentu. Ini adalah cara yang paling efektif untuk melindungi dari masalah confused deputy.

Anda dapat menggunakan kedua kunci konteks kondisi global tersebut dan nilai aws:SourceArn berisi ID akun. Dalam hal ini, nilai aws:SourceAccount dan akun dalam nilai aws:SourceArn harus menggunakan ID akun yang sama saat digunakan dalam pernyataan yang sama.
- Gunakan aws:SourceArn jika Anda menginginkan akses lintas layanan untuk satu sumber daya.
- Gunakan aws:SourceAccount jika Anda ingin mengizinkan sumber daya apa pun di akun tersebut dikaitkan dengan penggunaan lintas layanan.
Dalam hubungan kepercayaan, pastikan untuk menggunakan kunci konteks kondisi aws:SourceArn global dengan Nama Sumber Daya Amazon (ARN) lengkap dari sumber daya yang mengakses peran.

AWS CLI Perintah berikut menciptakan peran yang dinamai rds-s3-integration-role untuk tujuan ini.
contoh
Untuk Linux, macOS, atau Unix:
```
aws iam create-role \
   --role-name rds-s3-integration-role \
   --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
            "Service": "rds.amazonaws.com"
          },
         "Action": "sts:AssumeRole",
         "Condition": {
             "StringEquals": {
                 "aws:SourceAccount": my_account_ID,
                 "aws:SourceArn": "arn:aws:rds:Region:my_account_ID:db:dbname"
             }
         }
       }
     ]
   }'
```
Untuk Windows:
```
aws iam create-role ^
   --role-name rds-s3-integration-role ^
   --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
            "Service": "rds.amazonaws.com"
          },
         "Action": "sts:AssumeRole",
         "Condition": {
             "StringEquals": {
                 "aws:SourceAccount": my_account_ID,
                 "aws:SourceArn": "arn:aws:rds:Region:my_account_ID:db:dbname"
             }
         }
       }
     ]
   }'
```
Untuk informasi selengkapnya, lihat Membuat peran untuk mendelegasikan izin kepada IAM pengguna di Panduan IAM Pengguna.
Setelah peran dibuat, perhatikan ARN perannya. Anda membutuhkan ARN untuk langkah selanjutnya.
Lampirkan kebijakan yang Anda buat ke peran yang Anda buat.

AWS CLI Perintah berikut melampirkan kebijakan ke peran bernamards-s3-integration-role.
contoh
Untuk Linux, macOS, atau Unix:
```
aws iam attach-role-policy \
   --policy-arn your-policy-arn \
   --role-name rds-s3-integration-role
```
Untuk Windows:
```
aws iam attach-role-policy ^
   --policy-arn your-policy-arn ^
   --role-name rds-s3-integration-role
```
Ganti your-policy-arn dengan kebijakan ARN yang Anda catat di langkah sebelumnya.

Langkah 4: Kaitkan IAM peran Anda dengan RDS instans DB Oracle

Langkah terakhir dalam mengonfigurasi izin untuk integrasi Amazon S3 adalah mengaitkan peran IAM Anda dengan instans DB Anda. Perhatikan persyaratan berikut:

Anda harus memiliki akses ke IAM peran dengan kebijakan izin Amazon S3 yang diperlukan yang dilampirkan padanya.
Anda hanya dapat mengaitkan satu IAM peran dengan instans DB Oracle Anda RDS pada satu waktu.
Instans DB Anda harus dalam status Tersedia.

Untuk mengaitkan IAM peran Anda dengan RDS instans Oracle DB

Masuk ke AWS Management Console dan buka RDS konsol Amazon di https://console.aws.amazon.com/rds/.
Pilih Basis data dari panel navigasi.
Pilih nama RDS instans Oracle DB untuk menampilkan detailnya.
Pada tab Konektivitas & Keamanan, gulir ke bawah ke bagian Kelola IAM peran di bagian bawah halaman.
Untuk Tambahkan IAM peran ke instance ini, pilih peran yang Anda buatLangkah 3: Buat IAM peran untuk instans DB Anda dan lampirkan kebijakan Anda.
Untuk Fitur, pilih S3_ INTEGRATION.
Pilih Tambahkan peran.

AWS CLI Perintah berikut menambahkan peran ke instance Oracle DB bernamamydbinstance.

contoh

Untuk Linux, macOS, atau Unix:


aws rds add-role-to-db-instance \
   --db-instance-identifier mydbinstance \
   --feature-name S3_INTEGRATION \
   --role-arn your-role-arn

Untuk Windows:


aws rds add-role-to-db-instance ^
   --db-instance-identifier mydbinstance ^
   --feature-name S3_INTEGRATION ^
   --role-arn your-role-arn

Ganti your-role-arn dengan peran ARN yang Anda catat di langkah sebelumnya. S3_INTEGRATIONharus ditentukan untuk --feature-name opsi.

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

Integrasi Amazon S3

Menambahkan opsi

Mengkonfigurasi IAM izin RDS untuk integrasi Oracle dengan Amazon S3

Topik

Langkah 1: Buat IAM kebijakan untuk RDS peran Amazon Anda

catatan

Untuk membuat IAM kebijakan agar Amazon RDS dapat mengakses bucket Amazon S3

catatan

contoh

Langkah 2: (Opsional) Buat IAM kebijakan untuk bucket Amazon S3 Anda

Untuk membuat atau mengedit kebijakan bucket

catatan

Langkah 3: Buat IAM peran untuk instans DB Anda dan lampirkan kebijakan Anda

Untuk membuat IAM peran agar Amazon RDS dapat mengakses bucket Amazon S3

Untuk membuat peran dan melampirkan kebijakan ke peran ini

contoh

contoh

Langkah 4: Kaitkan IAM peran Anda dengan RDS instans DB Oracle

Untuk mengaitkan IAM peran Anda dengan RDS instans Oracle DB

contoh