Trabalhar com grupos de opções

Alguns mecanismos de banco de dados oferecem recursos adicionais que facilitam o gerenciamento de dados e de bancos de dados e oferecem segurança adicional ao seu banco de dados. O Amazon RDS usa grupos de opções para habilitar e configurar esses recursos. Um grupo de opções pode especificar recursos, chamados de opções, que estão disponíveis para uma determinada instância de banco de dados do Amazon RDS. Opções podem ter configurações que especificam como a opção funciona. Quando você associa uma instância de banco de dados a um grupo de opções, as opções e as configurações de opções especificadas são habilitadas para essa instância de banco de dados.

O Amazon RDS oferece suporte para os seguintes mecanismos de banco de dados:

Visão geral de grupos de opções

O Amazon RDS fornece um grupo de opções padrão vazio para cada nova instância de banco de dados. Não é possível modificar ou excluir esse grupo de opções padrão, mas qualquer novo grupo de opções que você criar derivará suas configurações do grupo de opções padrão. Para aplicar uma opção a uma instância de banco de dados, você deve fazer o seguinte:

Tanto as instâncias de banco de dados quanto os snapshot de banco de dadoss podem ser associados a um grupo de opções. Em alguns casos, você pode restaurar a partir de um snapshot de banco de dados ou pode realizar uma restauração pontual time para uma instância de banco de dados. Nesses casos, o grupo de opções associado ao snapshot de banco de dados ou à instância de banco de dados está, por padrão, associado à instância de banco de dados restaurada. Você pode associar um grupo de opções diferente a uma instância de banco de dados restaurada. No entanto, o novo grupo de opções deve conter quaisquer opções persistentes ou permanentes que foram incluídas no grupo de opções original. As opções persistentes e permanentes estão descritas a seguir.

As opções exigem memória adicional para serem executadas em uma instância de banco de dados. Portanto, pode ser necessário iniciar uma instância maior para usá-las, dependendo do uso atual da sua instância de banco de dados. Por exemplo, o Oracle Enterprise Manager Database Control usa cerca de 300 MB de RAM. Se você habilitar essa opção para uma instância de banco de dados pequena, poderá encontrar problemas de performance devido a erros de memória insuficiente.

Opções persistentes e permanentes

Dois tipos de opções, persistentes e permanentes, exigem consideração especial quando você as adiciona a um grupo de opções.

Ações persistentes não podem ser removidas de um grupo de opções enquanto instâncias de banco de dados estão associadas a esse grupo. Um exemplo de uma opção persistente é a opção TDE para o recurso TDE (Transparent Data Encryption) do Microsoft SQL Server. Você deve desassociar todas as instâncias de bancos de dados do grupo de opções para que uma opção persistente possa ser removida do grupo de opções. Em alguns casos, você pode restaurar ou realizar uma restauração pontual a partir de um snapshot de banco de dados. Nesses casos, se o grupo de opções associado a esse snapshot de banco de dados contiver uma opção persistente, você só poderá associar a instância de banco de dados restaurada a esse grupo de opções.

Opções permanentes, como a opção TDE para o TDE do Oracle Advanced Security, nunca podem ser removidas de um grupo de opções. Você pode alterar o grupo de opções de uma instância de banco de dados que esteja usando a opção permanente. No entanto, o grupo de opções associado à instância de banco de dados deve incluir a mesma opção permanente. Em alguns casos, você pode restaurar ou realizar uma restauração pontual a partir de um snapshot de banco de dados. Nesses casos, se o grupo de opções associado a esse snapshot de banco de dados contiver uma opção permanente, você só poderá associar a instância de banco de dados restaurada a um grupo de opções com essa opção permanente.

Para instâncias de banco de dados Oracle, você pode copiar snapshots de banco de dados compartilhados que tenham as opções Timezone ou OLS (ou ambas). Para fazer isso, especifique um grupo de opções de destino que inclua essas opções ao copiar o snapshot de banco de dados. A opção OLS é permanente e persistente apenas para instâncias de banco de dados Oracle executando o Oracle versão 12.2 ou superior. Para obter mais informações sobre essas opções, consulte Fuso horário da Oracle e Oracle Label Security.

Considerações de VPC

O grupo de opções associado à instância de banco de dados é vinculado à VPC da instância de banco de dados. Isso significa que você não poderá usar o grupo de opções atribuído a uma instância de banco de dados se tentar restaurar essa instância em uma VPC diferente. Se você restaurar uma instância de banco de dados para uma VPC diferente, poderá realizar um dos seguintes procedimentos:

Com opções persistentes ou permanentes, como o Oracle TDE, você deve criar um grupo de opções. Esse grupo de opções deve incluir a opção persistente ou permanente ao restaurar uma instância de banco de dados em uma VPC diferente.

Configurações de opções controlam o comportamento de uma opção. Por exemplo, a opção Oracle Advanced Security NATIVE_NETWORK_ENCRYPTION tem uma configuração que você pode usar para especificar o algoritmo de criptografia do tráfego de rede para e a partir da instância de banco de dados. Algumas configurações de opções são otimizadas para uso com o Amazon RDS e não podem ser alteradas.

Opções mutuamente exclusivas

Algumas opções são mutuamente exclusivas. Você pode usar uma ou outro, mas não ambas ao mesmo tempo. As seguintes opções são mutuamente exclusivas:

Criar um grupo de opções

Você pode criar um grupo de opções que obtenha suas configurações do grupo de opções padrão. Então, você adiciona uma ou mais opções ao novo grupo de opções. Ou, se você já possui um grupo de opções, pode copiar esse grupo com todas as suas opções em um novo grupo de opções. Para ter mais informações, consulte Copiar um grupo de opções.

Depois de criar um novo grupo de opções, ele não possui opções. Para saber como adicionar opções ao grupo de opções, consulte Adicionar uma opção a um grupo de opções. Depois de adicionar as opções desejadas, você poderá então associar o grupo de opções a uma instância de banco de dados. Dessa forma, as opções ficam disponíveis na instância de banco de dados. Para obter informações sobre como associar um grupo de opções a uma instância de banco de dados, consulte a documentação do mecanismo em Trabalhar com grupos de opções.

       
aws rds create-option-group \
    --option-group-name testoptiongroup \
    --engine-name oracle-ee \
    --major-engine-version 19 \
    --option-group-description "Test option group for Oracle Database 19c EE"                
                

aws rds create-option-group ^
    --option-group-name testoptiongroup ^
    --engine-name oracle-ee ^-
    --major-engine-version 19 ^
    --option-group-description "Test option group for Oracle Database 19c EE"
                

Copiar um grupo de opções

Você pode usar a AWS CLI ou a API do Amazon RDS para copiar um grupo de opções. Copiar um grupo de opções pode ser conveniente. Um exemplo é quando há um grupo de opções e você deseja incluir a maioria de seus parâmetros e valores personalizados em um novo grupo de opções. Você também pode fazer uma cópia de um grupo de opções que costuma usar em um ambiente de produção e depois modificar essa cópia para testar outras configurações de opções.

aws rds copy-option-group \
    --source-option-group-identifier my-option-group \
    --target-option-group-identifier new-option-group \
    --target-option-group-description "My new option group"

aws rds copy-option-group ^
    --source-option-group-identifier my-option-group ^
    --target-option-group-identifier new-option-group ^
    --target-option-group-description "My new option group"

Adicionar uma opção a um grupo de opções

Você pode adicionar uma opção a um grupo de opções existente. Depois de ter adicionado as opções desejadas, você poderá então associar o grupo de opções com uma instância de banco de dados para que as opções se tornem disponíveis na instância de banco de dados. Para obter informações sobre como associar um grupo de opções a uma instância de banco de dados, consulte a documentação do mecanismo de banco de dados específico, listada em Trabalhar com grupos de opções.

As alterações do grupo de opções devem ser aplicadas imediatamente em dois casos:

Nesses casos, escolha a opção Apply Immediately (Aplicar imediatamente) no console. Se preferir, inclua a opção --apply-immediately quando usar a AWS CLI ou definir o parâmetro ApplyImmediately como true ao usar a API do Amazon RDS. As opções que não incluem valores de porta podem ser aplicadas imediatamente ou podem ser aplicadas durante a próxima janela de manutenção da instância de banco de dados.

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options "OptionName=Timezone,OptionSettings=[{Name=TIME_ZONE,Value=America/Los_Angeles}]" \
    --apply-immediately

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options "OptionName=Timezone,OptionSettings=[{Name=TIME_ZONE,Value=America/Los_Angeles}]" ^
    --apply-immediately

...{
       "OptionName": "Timezone",
       "OptionDescription": "Change time zone",
       "Persistent": true,
       "Permanent": false,
       "OptionSettings": [
           {
               "Name": "TIME_ZONE",
               "Value": "America/Los_Angeles",
               "DefaultValue": "UTC",
               "Description": "Specifies the timezone the user wants to change the system time to",
               "ApplyType": "DYNAMIC",
               "DataType": "STRING",
               "AllowedValues": "Africa/Cairo,...",
               "IsModifiable": true,
               "IsCollection": false
           }
       ],
       "DBSecurityGroupMemberships": [],
       "VpcSecurityGroupMemberships": []
   }...

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options OptionName=OEM,Port=5500,VpcSecurityGroupMemberships="sg-test1,sg-test2" \
    --apply-immediately

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options OptionName=OEM,Port=5500,VpcSecurityGroupMemberships="sg-test1,sg-test2" ^
    --apply-immediately

OPTIONGROUP  False  oracle-ee  19 arn:aws:rds:us-east-1:1234567890:og:testoptiongroup   Test Option Group  testoptiongroup vpc-test 
OPTIONS Oracle 12c EM Express   OEM     False   False   5500
VPCSECURITYGROUPMEMBERSHIPS     active  sg-test1
VPCSECURITYGROUPMEMBERSHIPS     active  sg-test2        

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options '[{"OptionSettings":[{"Name":"SQLNET.ENCRYPTION_SERVER","Value":"REQUIRED"},{"Name":"SQLNET.ENCRYPTION_TYPES_SERVER","Value":"AES256,AES192,DES"}],"OptionName":"NATIVE_NETWORK_ENCRYPTION"}]' \
    --apply-immediately

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options "OptionSettings"=[{"Name"="SQLNET.ENCRYPTION_SERVER","Value"="REQUIRED"},{"Name"="SQLNET.ENCRYPTION_TYPES_SERVER","Value"="AES256\,AES192\,DES"}],"OptionName"="NATIVE_NETWORK_ENCRYPTION" ^
    --apply-immediately

...{
    "OptionName": "NATIVE_NETWORK_ENCRYPTION",
    "OptionDescription": "Native Network Encryption",
    "Persistent": false,
    "Permanent": false,
    "OptionSettings": [
        {
            "Name": "SQLNET.ENCRYPTION_TYPES_SERVER",
             "Value": "AES256,AES192,DES",
            "DefaultValue": "RC4_256,AES256,AES192,3DES168,RC4_128,AES128,3DES112,RC4_56,DES,RC4_40,DES40",
            "Description": "Specifies list of encryption algorithms in order of intended use",
            "ApplyType": "STATIC",
            "DataType": "STRING",
            "AllowedValues": "RC4_256,AES256,AES192,3DES168,RC4_128,AES128,3DES112,RC4_56,DES,RC4_40,DES40",
            "IsModifiable": true,
            "IsCollection": true
        },
        {
            "Name": "SQLNET.ENCRYPTION_SERVER",
            "Value": "REQUIRED",
            "DefaultValue": "REQUESTED",
            "Description": "Specifies the desired encryption behavior",
            "ApplyType": "STATIC",
            "DataType": "STRING",
            "AllowedValues": "ACCEPTED,REJECTED,REQUESTED,REQUIRED",
            "IsModifiable": true,
            "IsCollection": false
        },...

Listar as opções e as configurações de opções para um grupo de opções

Você pode listar todas as opções e configurações de opções para um grupo de opções.

aws rds describe-option-groups

aws rds describe-option-groups --option-group-name testoptiongroup

Modificar uma configuração de opção

Depois de adicionar uma opção que tenha configurações de opções modificáveis, você pode modificar as configurações a qualquer momento. Se você alterar opções ou configurações de opções em um grupo de opções, essas alterações serão aplicadas a todas as instâncias de bancos de dados associadas a esse grupo de opções. Para obter mais informações sobre quais configurações estão disponíveis para as várias opções, consulte a documentação do mecanismo específico em Trabalhar com grupos de opções.

As alterações do grupo de opções devem ser aplicadas imediatamente em dois casos:

Nesses casos, escolha a opção Apply Immediately (Aplicar imediatamente) no console. Outra alternativa é incluir a opção --apply-immediately quando usar a AWS CLI ou definir o parâmetro ApplyImmediately como true ao usar a API do RDS. As opções que não incluem valores de porta podem ser aplicadas imediatamente ou podem ser aplicadas durante a próxima janela de manutenção da instância de banco de dados.

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options OptionName=OEM,Port=5432,DBSecurityGroupMemberships=default \
    --apply-immediately  

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options OptionName=OEM,Port=5432,DBSecurityGroupMemberships=default ^
    --apply-immediately               

OPTIONGROUP   False  oracle-ee  19  arn:aws:rds:us-east-1:1234567890:og:testoptiongroup   Test Option Group    testoptiongroup
OPTIONS Oracle 12c EM Express   OEM     False   False   5432
DBSECURITYGROUPMEMBERSHIPS   default  authorized               

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options '[{"OptionSettings":[{"Name":"SQLNET.ENCRYPTION_SERVER","Value":"REQUIRED"},{"Name":"SQLNET.ENCRYPTION_TYPES_SERVER","Value":"AES256,AES192,DES,RC4_256"}],"OptionName":"NATIVE_NETWORK_ENCRYPTION"}]' \
    --apply-immediately                                

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options "OptionSettings"=[{"Name"="SQLNET.ENCRYPTION_SERVER","Value"="REQUIRED"},{"Name"="SQLNET.ENCRYPTION_TYPES_SERVER","Value"="AES256\,AES192\,DES\,RC4_256"}],"OptionName"="NATIVE_NETWORK_ENCRYPTION" ^
    --apply-immediately                

OPTIONGROUP   False  oracle-ee  19  arn:aws:rds:us-east-1:1234567890:og:testoptiongroup   Test Option Group    testoptiongroup                
OPTIONS Oracle Advanced Security - Native Network Encryption    NATIVE_NETWORK_ENCRYPTION       False   False
OPTIONSETTINGS  RC4_256,AES256,AES192,3DES168,RC4_128,AES128,3DES112,RC4_56,DES,RC4_40,DES40 STATIC  STRING  
   RC4_256,AES256,AES192,3DES168,RC4_128,AES128,3DES112,RC4_56,DES,RC4_40,DES40    Specifies list of encryption algorithms in order of intended use        
   True     True    SQLNET.ENCRYPTION_TYPES_SERVER  AES256,AES192,DES,RC4_256
OPTIONSETTINGS  ACCEPTED,REJECTED,REQUESTED,REQUIRED    STATIC  STRING  REQUESTED   Specifies the desired encryption behavior  False   True  SQLNET.ENCRYPTION_SERVER    REQUIRED
OPTIONSETTINGS  SHA1,MD5   STATIC  STRING  SHA1,MD5    Specifies list of checksumming algorithms in order of intended use      True    True    SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER  SHA1,MD5
OPTIONSETTINGS  ACCEPTED,REJECTED,REQUESTED,REQUIRED  STATIC  STRING  REQUESTED     Specifies the desired data integrity behavior   False   True    SQLNET.CRYPTO_CHECKSUM_SERVER  REQUESTED               

Remover uma opção de um grupo de opções

Algumas opções podem ser removidas de um grupo de opções e outras não. Uma opção persistente não pode ser removida de um grupo de opções até que todas as instâncias de bancos de dados associadas a esse grupo de opções sejam desassociadas. Uma opção permanente nunca pode ser removida de um grupo de opções. Para obter mais informações sobre quais opções podem ser removidas, consulte a documentação do seu mecanismo específico, listada em Trabalhar com grupos de opções.

Se você remover todas as opções de um grupo de opções, o Amazon RDS não excluirá o grupo de opções. As instâncias de banco de dados associadas ao grupo de opções vazio continuam associadas a ele. Essas instâncias simplesmente não terão opções ativas. Alternativamente, para remover todas as opções de uma instância de banco de dados, você pode associar a instância de banco de dados ao grupo de opções padrão (vazio).

  
aws rds remove-option-from-option-group \
    --option-group-name testoptiongroup \
    --options OEM \
    --apply-immediately                    
                    

aws rds remove-option-from-option-group ^
    --option-group-name testoptiongroup ^
    --options OEM ^
    --apply-immediately
                    

OPTIONGROUP    testoptiongroup oracle-ee   19    Test option group

Excluir um grupo de opções

Só será possível excluir um grupo de opções se ele atender aos seguintes critérios:

Para identificar os grupos de opções usados pelas instâncias de banco de dados e snapshots de banco de dados, é possível usar os seguintes comandos da CLI:

aws rds describe-db-instances \
    --query 'DBInstances[*].[DBInstanceIdentifier,OptionGroupMemberships[].OptionGroupName]'

aws rds describe-db-snapshots | jq -r '.DBSnapshots[] | "\(.DBInstanceIdentifier),\(.OptionGroupName)"' | sort | uniq

Se você tentar excluir um grupo de opções associado a um recurso do RDS, será retornado um erro semelhante ao seguinte.

An error occurred (InvalidOptionGroupStateFault) when calling the DeleteOptionGroup operation: The option group 'optionGroupName' cannot be deleted because it is in use.            
        

Se uma instância de banco de dados estiver associada ao grupo de opções, modifique-a para usar um grupo de opções diferente. Para ter mais informações, consulte Modificar uma instância de banco de dados do Amazon RDS.

Se um snapshot de banco de dados manual estiver associado ao grupo de opções, modifique esse snapshot para usar um grupo de opções diferente. Faça isso usando o comando modify-db-snapshot da AWS CLI.

       
aws rds delete-option-group \
    --option-group-name testoptiongroup                
                

aws rds delete-option-group ^
    --option-group-name testoptiongroup