Configurar seu ambiente para o Amazon RDS Custom for SQL Server

Antes de criar e gerenciar uma instância de banco de dados para a instância de banco de dados Amazon RDS Custom for SQL Server, certifique-se de realizar as tarefas a seguir.

Pré-requisitos para configurar o RDS Custom for SQL Server

Antes de criar uma instância de banco de dados do RDS Custom para SQL Server, seu ambiente deve atender aos requisitos descritos neste tópico. Também é possível usar o modelo do CloudFormation para configurar os pré-requisitos da Conta da AWS. Para ter mais informações, consulte Configurar com o AWS CloudFormation.

O RDS Custom para SQL Server exige que você configure os seguintes pré-requisitos:

Para conhecer os requisitos gerais que se aplicam ao RDS Custom for SQL Server, consulte Requisitos gerais do RDS Custom for SQL Server.

Criação automática de perfis de instância usando o AWS Management Console

O RDS Custom exige que você crie e configure um perfil de instância para iniciar qualquer instância de banco de dados do RDS Custom para SQL Server. Use o AWS Management Console para criar um perfil de instância e anexá-lo em uma única etapa. Essa opção está disponível na seção de segurança do RDS Custom nas páginas do console Criar banco de dados, Restaurar snapshot e Restaurar para um momento específico. Selecione Criar um novo perfil da instância para fornecer um sufixo de nome de perfil de instância. O AWS Management Console cria um perfil de instância com as permissões necessárias para tarefas de automação do RDS Custom. Para criar automaticamente perfis de instância, seu usuário conectado ao AWS Management Console deve ter as permissões iam:CreateInstanceProfile, iam:AddRoleToInstanceProfile, iam:CreateRole e iam:AttachRolePolicy.

Etapa 1: conceder as permissões necessárias à entidade principal do IAM

Verifique se você tem acesso suficiente para criar uma instância do RDS Custom. O perfil ou o usuário do IAM (conhecido como a entidade principal do IAM) para criar uma instância de banco de dados do RDS Custom para SQL Server usando o console ou a CLI deve ter uma das seguintes políticas para a criação bem-sucedida de uma instância de banco de dados:

O exemplo de política JSON a seguir concede as permissões necessárias.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

A entidade principal do IAM exige as seguintes permissões adicionais para trabalhar com versões personalizadas do mecanismo (CEVs):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ConfigureKmsKeyEncryptionPermission",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo",
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:region:account_id:key/key_id"
        },
        {
            "Sid": "CreateEc2Instance",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:RunInstances",
                "ec2:CreateTags"
            ],
            "Resource": "*"
        }
    ]
}

Substitua account_id pelo ID da conta que você está usando para criar a instância. Substitua region pela Região da AWS que você está usando para criar a instância. Substitua key_id pelo ID da chave gerenciada pelo cliente. É possível adicionar várias chaves, conforme necessário.

Para ter mais informações sobre as permissões em nível de recurso que são necessárias para iniciar uma instância do EC2, consulte Executar instâncias (RunInstances).

Além disso, a entidade principal do IAM exige a permissão iam:PassRole no perfil do IAM. Ela deve ser anexada ao perfil de instância transmitido no parâmetro custom-iam-instance-profile na solicitação para criar a instância de banco de dados do RDS Custom. O perfil de instância e sua função anexada são criados posteriormente em Etapa 2: configurar rede, perfil de instância e criptografia.

Etapa 2: configurar rede, perfil de instância e criptografia

Você pode configurar sua função de perfil de instância do IAM, nuvem privada virtual (VPC) e chave de criptografia simétrica do AWS KMS usando um dos seguintes processos:

Configurar com o AWS CloudFormation

Para simplificar a configuração, é possível utilizar um arquivo de modelo do AWS CloudFormation para criar uma pilha do CloudFormation. Um modelo do CloudFormation cria todos os recursos de rede, perfis de instância e criptografia de acordo com os requisitos do RDS Custom.

Para saber como criar pilhas, consulte Criar uma pilha no console do AWS CloudFormation, no Guia do usuário do AWS CloudFormation.

Para ver um tutorial sobre como executar o Amazon RDS Custom para SQL Server usando um modelo do AWS CloudFormation, consulte Começar a usar o Amazon RDS Custom para SQL Server usando um modelo do AWS CloudFormation no blog de banco de dados da AWS.

Parâmetros exigidos pelo CloudFormation

Os seguintes parâmetros são necessários para configurar os recursos obrigatórios do RDS Custom com o CloudFormation:

Baixar o arquivo de modelo do AWS CloudFormation

Configurar recursos usando o CloudFormation

O CloudFormation cria os recursos necessários ao RDS Custom para SQL Server. Se ocorrer uma falha na criação da pilha, leia a guia Events (Eventos) para ver em qual recurso a criação falhou e seu motivo de status.

A guia Outputs (Saídas) para essa pilha do CloudFormation no console deve ter informações sobre todos os recursos a serem transmitidos como parâmetros para criar uma instância de banco de dados do RDS Custom para SQL Server. Use o grupo de segurança da VPC e o grupo de sub-redes de banco de dados criados pelo CloudFormation para instâncias de banco de dados do RDS Custom. Por padrão, o RDS tenta anexar o grupo de segurança da VPC padrão, que pode não ter o acesso necessário.

Se você usou o CloudFormation para criar recursos, você pode ignorar Configurar manualmente.

Configurar manualmente

Se você optar por configurar recursos manualmente, realize as tarefas a seguir.

Verifique se você tem uma chave do AWS KMS de criptografia simétrica.

Uma AWS KMS key de criptografia simétrica é necessária para o RDS Custom. Ao criar uma instância de banco de dados do RDS Custom para SQL Server, forneça o identificador de chave do KMS como o parâmetro kms-key-id. Para ter mais informações, consulte Criar e conectar-se a uma instância de banco de dados Amazon RDS Custom for SQL Server.

Você tem as seguintes opções:

A chave de criptografia simétrica deve conceder acesso às operações kms:Decrypt e kms:GenerateDataKey ao perfil do AWS Identity and Access Management (IAM) em seu perfil de instância do IAM. Se você tiver uma nova chave de criptografia simétrica em sua conta, nenhuma alteração será necessária. Do contrário, a política de sua chave de criptografia simétrica precisará conceder acesso a essas operações.

Para ter mais informações, consulte Etapa 4: Configurar o IAM para RDS Custom para Oracle.

Criar sua função do IAM e seu perfil de instância manualmente

É possível criar manualmente um perfil de instância e usá-lo para iniciar instâncias do RDS Custom. Se você planeja criar a instância no AWS Management Console, ignore esta seção. O AWS Management Console permite que você crie e anexe um perfil às suas instâncias do RDS Custom. Para ter mais informações, consulte Criação automática de perfis de instância usando o AWS Management Console.

Ao criar manualmente um perfil de instância, transmita o respectivo nome como o parâmetro custom-iam-instance-profile para o comando create-db-instance da CLI. O RDS Custom usa o perfil associado a esse perfil de instância a fim de executar a automação para gerenciar a instância.

Criar a função do IAM AWSRDSCustomSQLServerInstanceRole

O exemplo a seguir cria a função AWSRDSCustomSQLServerInstanceRole. A política de confiança permite que o Amazon EC2 assuma a função.

aws iam create-role \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --assume-role-policy-document '{
        "Version": "2012-10-17",
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": "ec2.amazonaws.com"
              }
            }
          ]
        }'

Adicionar uma política de acesso a AWSRDSCustomSQLServerInstanceRole

Para fornecer as permissões necessárias, anexe a política AmazonRDSCustomInstanceProfileRolePolicygerenciada pela AWS a AWSRDSCustomSQLServerInstanceRole. A AmazonRDSCustomInstanceProfileRolePolicy permite que as instâncias do RDS Custom enviem e recebam mensagens e realizem várias ações de automação.

O exemplo a seguir anexa a política AWSRDSCustomSQLServerIamRolePolicy gerenciada pela AWS ao perfil AWSRDSCustomSQLServerInstanceRole.

aws iam attach-role-policy \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonRDSCustomInstanceProfileRolePolicy

Criar seu perfil de instância do RDS Custom for SQL Server

Um perfil de instância é um contêiner que inclui um único perfil do IAM. O RDS Custom usa o perfil de instância para transmitir o perfil à instância.

Se você usar o AWS Management Console para criar um perfil para o Amazon EC2, o console criará automaticamente um perfil de instância e dará a ele o mesmo nome dado ao perfil quando este foi criado. Crie seu perfil de instância da seguinte maneira, chamando-o de AWSRDSCustomSQLServerInstanceProfile.

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile

Adicionar AWSRDSCustomSQLServerInstanceRole ao seu perfil de instância do RDS Custom for SQL Server

Adicione o perfil AWSRDSCustomInstanceRoleForRdsCustomInstance ao perfil AWSRDSCustomSQLServerInstanceProfile criado anteriormente.

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile \
    --role-name AWSRDSCustomSQLServerInstanceRole

Configurar sua VPC manualmente

Sua instância de banco de dados do RDS Custom está em uma nuvem privada virtual (VPC) com base no serviço da Amazon VPC, assim como uma instância do Amazon EC2 ou do Amazon RDS. Você fornece e configura sua própria VPC. Assim, você tem controle total sobre a configuração de rede da sua instância.

O RDS Custom envia comunicações de sua instância de banco de dados para outros Serviços da AWS. Garanta que os seguintes serviços estejam acessíveis por meio da sub-rede na qual você cria instâncias de banco de dados do RDS Custom:

Se você criar implantações multi-AZ

Se o RDS Custom não conseguir se comunicar com os serviços necessários, ele publicará os seguintes eventos:

Database instance in incompatible-network. SSM Agent connection not available. Amazon RDS can't connect to the dependent AWS services.

Database instance in incompatible-network. Amazon RDS can't connect to dependent AWS services. Make sure port 443 (HTTPS) allows outbound connections, and try again. "Failed to connect to the following services: s3 events"

Para evitar erros incompatible-network, os componentes da VPC envolvidos na comunicação entre sua instância de banco de dados do RDS Custom e os Serviços da AWS devem cumprir os seguintes requisitos:

Se você já configurou uma VPC para outro mecanismo de banco de dados do RDS Custom, poderá reutilizar essa VPC e ignorar esse processo.

Configurar o grupo de segurança da sua VPC

Um grupo de segurança atua como um firewall virtual para uma instância VPC, controlando os tráfegos de entrada e de saída. Uma instância de banco de dados do RDS Custom tem um grupo de segurança anexado à interface de rede que protege a instância. O grupo de segurança deve permitir o tráfego entre o RDS Custom e outros Serviços da AWS por meio de HTTPS. Você transmite esse grupo de segurança como o parâmetro vpc-security-group-ids na solicitação de criação da instância.

Para ter mais informações sobre grupos de segurança, consulte Grupos de segurança para sua VPC no Guia do desenvolvedor da Amazon VPC.

Configurar endpoints para Serviços da AWS dependentes

Convém adicionar endpoints para cada serviço à sua VPC utilizando as instruções a seguir. No entanto, é possível utilizar qualquer solução que permita que a sua VPC se comunique com endpoints de serviços da AWS. Por exemplo, é possível utilizar a Conversão de endereços de rede (NAT) ou AWS Direct Connect.

A tabela a seguir explica como encontrar a lista de endpoints que a sua VPC precisa para comunicações de saída.

Configurar o serviço de metadados da instância

Verifique se a sua instância pode fazer o seguinte:

Consulte mais informações em Usar IMDSv2 no Guia do usuário do Amazon EC2.

Restrição entre instâncias

Quando você cria um perfil de instância seguindo as etapas acima, ele usa a política AmazonRDSCustomInstanceProfileRolePolicy gerenciada pela AWS para fornecer as permissões necessárias ao RDS Custom, o que permite o gerenciamento de instâncias e a automação do monitoramento. A política gerenciada garante que as permissões viabilizem acesso somente aos recursos que o RDS Custom exige para executar a automação. Recomendamos usar a política gerenciada para comportar novos recursos e atender aos requisitos de segurança que são aplicados automaticamente aos perfis de instância existentes sem intervenção manual. Para ter mais informações, consulte a política gerenciada pela AWS: AmazonRDSCustomInstanceProfileRolePolicy.

A política gerenciada AmazonRDSCustomInstanceProfileRolePolicy impede que o perfil de instância tenha acesso entre contas, mas pode permitir acesso a alguns recursos gerenciados do RDS Custom entre as respectivas instâncias na mesma conta. Com base em suas necessidades, você pode usar limites de permissão para restringir ainda mais o acesso entre instâncias. Os limites de permissões definem o número máximo de permissões que as políticas baseadas em identidade podem conceder a uma entidade, mas, por si sós, não concedem permissões. Para ter mais informações, consulte Avaliar permissões efetivas com limites.

Por exemplo, a política a seguir impede que o perfil de instância acesse uma chave do AWS KMS específica e limita o acesso aos recursos gerenciados do RDS Custom em instâncias que usam chaves do AWS KMS diferentes.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOtherKmsKeyAccess",
            "Effect": "Deny",
            "Action": "kms:*",
            "NotResource": "arn:aws:kms:region:acct_id:key/KMS_key_ID"
        },
        {
            "Sid": "NoBoundarySetByDefault",
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}