View a markdown version of this page

Prasyarat lengkap untuk bekerja dengan Konversi Skema DMS - AWS Layanan Migrasi Database
Konfigurasikan VPC, Amazon S3, dan Manajer RahasiaBuat peran dan kebijakan IAM

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Prasyarat lengkap untuk bekerja dengan Konversi Skema DMS

Sebelum Anda membuat profil instance, tambahkan penyedia data, dan buat proyek migrasi, selesaikan tugas prasyarat berikut. Tugas ini mengonfigurasi AWS sumber daya yang dibutuhkan Konversi Skema DMS, seperti VPC, bucket Amazon S3, AWS Secrets Manager rahasia, dan peran IAM dengan kebijakan izin.

Konsol mengotomatiskan pembuatan sumber daya

Saat Anda membuat proyek migrasi menggunakan Konsol AWS Manajemen, AWS DMS dapat secara otomatis membuat peran IAM yang diperlukan dan bucket Amazon S3 atas nama Anda. Jika Anda lebih suka membuat sumber daya ini secara manual, atau jika Anda menggunakan API AWS CLI or, selesaikan langkah-langkah berikut. Untuk informasi selengkapnya tentang membuat proyek migrasi, lihat Membuat proyek migrasi.

Konfigurasikan VPC, Amazon S3, dan Manajer Rahasia

Sebelum membuat peran dan kebijakan IAM, Anda memerlukan AWS sumber daya berikut untuk proyek migrasi Anda.

Cloud Privat Virtual Amazon

Anda memerlukan VPC dengan konektivitas ke database sumber dan target Anda dari subnet di setidaknya dua Zona Ketersediaan. Anda dapat menggunakan VPC yang sudah ada yang memenuhi persyaratan ini, atau membuat yang baru, misalnya bernamasc-vpc. Untuk informasi selengkapnya tentang konfigurasi jaringan, lihatMenyiapkan jaringan untuk Konversi Skema DMS.

Amazon S3

Anda memerlukan bucket Amazon S3 dengan versi yang diaktifkan untuk menyimpan laporan penilaian, kode SQL yang dikonversi, dan metadata skema database. Buat bucket Amazon S3 di Wilayah yang sama dengan proyek migrasi Anda, misalnya bernamaamzn-s3-demo-bucket, atau gunakan bucket yang sudah ada yang memenuhi persyaratan ini. Konversi Skema DMS mendukung bucket Amazon S3 yang menggunakan Server-Side Enkripsi dengan kunci terkelola Amazon S3 (SSE-S3) atau Server-Side Enkripsi dengan kunci AWS KMS (SSE-KMS). Ini termasuk kunci yang dikelola pelanggan. Jika bucket Anda menggunakan SSE-KMS kunci yang dikelola pelanggan, pastikan sc-s3-role memiliki izin yang diperlukan pada kunci tersebut (lihatBuat peran dan kebijakan IAM). Konversi Skema DMS tidak mendukung SSE-C atau Client-Side Enkripsi. Untuk petunjuk tentang cara membuat bucket, lihat Membuat bucket di Panduan Pengguna Amazon S3.

AWS Secrets Manager

Buat rahasia JSON AWS Secrets Manager yang berisi username dan pasangan password kunci-nilai untuk database sumber dan target Anda, misalnya bernama sc-source-secret dan. sc-target-secret Rahasia Anda harus Wilayah AWS sama dengan proyek migrasi Anda. Jika Anda sudah memiliki rahasia yang memenuhi persyaratan ini, Anda dapat menggunakannya kembali. Untuk petunjuk tentang membuat rahasia, lihat Membuat AWS Secrets Manager rahasia di Panduan AWS Secrets Manager Pengguna.

Buat peran dan kebijakan IAM

Untuk menggunakan Konversi Skema DMS, buat lima peran IAM berikut. Setiap peran harus menggunakan kebijakan kepercayaan yang memungkinkan AWS DMS layanan untuk mengambil peran tersebut.

Nama peran Kebijakan izin
sc-s3-role

Mengizinkan Konversi Skema DMS untuk menyimpan laporan penilaian, kode SQL yang dikonversi, dan metadata di bucket Amazon S3:

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "111122223333"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "111122223333"
                }
            }
        }
    ]
}
SSE-KMS izin untuk kunci yang dikelola pelanggan

Jika bucket Amazon S3 Anda menggunakan SSE-KMS kunci yang dikelola pelanggan, sc-s3-role peran tersebut memerlukan izin untuk menggunakan kunci tersebut. Gunakan salah satu metode berikut.

Tambahkan pernyataan berikut ke kebijakan sc-s3-role identitas. Pendekatan ini berfungsi ketika kebijakan kunci KMS mendelegasikan akses ke IAM, yang dilakukan oleh kebijakan kunci default:

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/key-ID",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "s3.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

Atau tambahkan pernyataan sc-s3-role untuk kebijakan kunci KMS. Gunakan pendekatan ini jika kebijakan utama tidak mendelegasikan akses ke IAM. Pernyataan kebijakan utama mengambil a Principal dan berlaku untuk kunci itu sendiri:

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowScS3RoleToUseTheKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/sc-s3-role"
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "s3.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

Jika bucket Anda menggunakan SSE-S3, Anda tidak memerlukan izin tambahan.
sc-source-secret-role

Mengizinkan Konversi Skema DMS untuk mengambil kredenSIAL database sumber Anda:

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:sc-source-secret*"
        }
    ]
}
sc-target-secret-role

Mengizinkan Konversi Skema DMS untuk mengambil kredenSIAL database target Anda:

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:sc-target-secret*"
        }
    ]
}
dms-vpc-role

AmazonDMSVPCManagementRole(kebijakan AWS yang dikelola). Lihat Membuat peran IAM untuk digunakan AWS DMS.
dms-cloudwatch-logs-role

AmazonDMSCloudWatchLogsRole(kebijakan AWS yang dikelola). Lihat Membuat peran IAM untuk digunakan AWS DMS.

Setiap peran memerlukan kebijakan kepercayaan berikut:

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "dms.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Untuk membuat sumber daya ini, pertama buat kebijakan, lalu buat peran dan lampirkan kebijakan yang sesuai. Untuk petunjuk, lihat Membuat kebijakan IAM dan Membuat peran untuk AWS layanan di Panduan Pengguna IAM.