本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定您的 Amazon RDS Custom for Oracle 的環境

在建立 Amazon RDS Custom for Oracle 資料庫執行個體之前，請執行下列任務。

步驟 1：建立或重複使用對稱加密 AWS KMS 金鑰

客戶管理金鑰 AWS KMS keys 位於您建立、擁有及管理的 AWS 帳戶中。RDS Custom 需要客戶受管對稱加密 KMS 金鑰。建立 RDS Custom for Oracle 資料庫執行個體時，您要提供 KMS 金鑰識別符。如需詳細資訊，請參閱 為 Amazon RDS Custom for Oracle 設定資料庫執行個體。

您有下列選項：

確保您的對稱加密金鑰授kms:Decrypt與存取 IAM 執行個體設定檔中 AWS Identity and Access Management (IAM) 角色的存取權和kms:GenerateDataKey操作。若您的帳戶中有新的對稱加密金鑰，則不需要變更。否則，請確定對稱加密金鑰政策授予這些操作的存取權。

如需詳細資訊，請參閱 步驟 4：設定適用於 Oracle 的 RDS 自訂 IAM。

如需設定 RDS Custom for Oracle 的 IAM 的相關詳細資訊，請參閱 步驟 4：設定適用於 Oracle 的 RDS 自訂 IAM。

步驟 2：下載並安裝 AWS CLI

AWS 提供您使用 RDS 自訂功能的命令列介面。您可以使用 AWS CLI的第 1 版或第 2 版。

如需有關下載和安裝的資訊 AWS CLI，請參閱安裝或更新最新版本的 AWS CLI.

如果以下任一情況屬實，請略過此步驟：

步驟 3：擷取適用於 Oracle 的 RDS 自訂 CloudFormation範本

為了簡化設定，我們強烈建議您使用 AWS CloudFormation 範本建立 CloudFormation 堆疊。如果您打算手動設定 IAM 和 VPC，請略過此步驟。

步驟 3a：下載模 CloudFormation板文件

CloudFormation 模板是構成堆棧的 AWS 資源的聲明。範本會儲存為 JSON 檔案。

步驟 3：提取 custom-oracle-iam .json

開啟您下載的custom-oracle-iam.zip檔案，然後解壓縮檔案custom-oracle-iam.json。檔案的開頭如下所示。

{
  "AWSTemplateFormatVersion": "2010-09-09",
  "Parameters": {
    "EncryptionKey": {
      "Type": "String",
      "Default": "*",
      "Description": "KMS Key ARN for encryption of data managed by RDS Custom and by DB Instances."
    }
  },
  "Resources": {
    "RDSCustomInstanceServiceRole": {
      "Type": "AWS::IAM::Role",
      "Properties": {
        "RoleName": { "Fn::Sub": "AWSRDSCustomInstanceRole-${AWS::Region}" },
        "AssumeRolePolicyDocument": {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": "ec2.amazonaws.com"
              }
            }
          ]
        },...

步驟 3：提取自定義

打開您下載的custom-vpc.zip圖片，然後解壓縮。custom-vpc.json檔案的開頭如下所示。

{
  "AWSTemplateFormatVersion": "2010-09-09",
  "Parameters": {
    "PrivateVpc": {
      "Type": "AWS::EC2::VPC::Id",
      "Description": "Private VPC Id to use for RDS Custom DB Instances"
    },
    "PrivateSubnets": {
      "Type": "List<AWS::EC2::Subnet::Id>",
      "Description": "Private Subnets to use for RDS Custom DB Instances"
    },
    "RouteTable": {
      "Type": "String",
      "Description": "Route Table that must be associated with the PrivateSubnets and used by S3 VPC Endpoint",
      "AllowedPattern": "rtb-[0-9a-z]+"
    }
  },
  "Resources": {
    "DBSubnetGroup": {
      "Type": "AWS::RDS::DBSubnetGroup",
      "Properties": {
        "DBSubnetGroupName": "rds-custom-private",
        "DBSubnetGroupDescription": "RDS Custom Private Network",
        "SubnetIds": {
          "Ref": "PrivateSubnets"
        }
      }
    },...

步驟 4：設定適用於 Oracle 的 RDS 自訂 IAM

您透過主控台或 AWS CLI，使用 IAM 角色或 IAM 使用者 (也稱為 IAM 實體)，來建立 RDS Custom 資料庫執行個體。此 IAM 實體必須擁有執行個體建立的必要許可。

您可以使用 CloudFormation 或手動步驟設定 IAM。

使用以下方式設 CloudFormation

當您使用 IAM 的 CloudFormation 範本時，它會建立下列必要資源：

手動建立 IAM 角色和執行個體設定檔

使用時配置是最簡單的 CloudFormation。或者，您也可以手動設定 IAM。對於手動設定，請執行下列操作：

步驟 1：建立 AWSRDSCustomInstanceRoleForRdsCustomInstance IAM 角色

在此步驟中，您可以使用命名格式 AWSRDSCustomInstanceRole-region 來建立角色。使用信任政策，Amazon EC2 可以擔任角色。下列範例假設您已將環境變數 $REGION 設為 AWS 區域 ，且您要在其中建立資料庫執行個體。

aws iam create-role \
  --role-name AWSRDSCustomInstanceRole-$REGION \
  --assume-role-policy-document '{
    "Version": "2012-10-17",
      "Statement": [
        {
          "Action": "sts:AssumeRole",
          "Effect": "Allow",
          "Principal": {
              "Service": "ec2.amazonaws.com"
          }
        }
      ]
    }'

步驟 2：將存取原則新增至 AWSRDSCustomInstanceRoleForRdsCustomInstance

當您在 IAM 角色中內嵌內遷政策時，內嵌政策會用來做為角色存取 (許可) 政策的一部分。您可以建立 AWSRDSCustomIamRolePolicy 政策，允許 Amazon EC2 傳送和接收訊息以及執行各種動作。

下列範例會建立名為 AWSRDSCustomIamRolePolicy 的存取政策，並將其新增至 IAM 角色 AWSRDSCustomInstanceRole-region。此範例假設您已設定下列環境變數：

aws iam put-role-policy \
  --role-name AWSRDSCustomInstanceRole-$REGION \
  --policy-name AWSRDSCustomIamRolePolicy \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeAssociation",
                "ssm:GetDeployablePatchSnapshotForInstance",
                "ssm:GetDocument",
                "ssm:DescribeDocument",
                "ssm:GetManifest",
                "ssm:GetParameter",
                "ssm:GetParameters",
                "ssm:ListAssociations",
                "ssm:ListInstanceAssociations",
                "ssm:PutInventory",
                "ssm:PutComplianceItems",
                "ssm:PutConfigurePackageResult",
                "ssm:UpdateAssociationStatus",
                "ssm:UpdateInstanceAssociationStatus",
                "ssm:UpdateInstanceInformation",
                "ssm:GetConnectionStatus",
                "ssm:DescribeInstanceInformation",
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "2",
            "Effect": "Allow",
            "Action": [
                "ec2messages:AcknowledgeMessage",
                "ec2messages:DeleteMessage",
                "ec2messages:FailMessage",
                "ec2messages:GetEndpoint",
                "ec2messages:GetMessages",
                "ec2messages:SendReply"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "3",
            "Effect": "Allow",
            "Action": [
                "logs:PutRetentionPolicy",
                "logs:PutLogEvents",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup"
            ],
            "Resource": [
                "arn:aws:logs:'$REGION':'$ACCOUNT_ID':log-group:rds-custom-instance*"
            ]
        },
        {
            "Sid": "4",
            "Effect": "Allow",
            "Action": [
                "s3:putObject",
                "s3:getObject",
                "s3:getObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::do-not-delete-rds-custom-*/*"
            ]
        },
        {
            "Sid": "5",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": [
                        "RDSCustomForOracle/Agent"
                    ]
                }
            }
        },
        {
            "Sid": "6",
            "Effect": "Allow",
            "Action": [
                "events:PutEvents"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "7",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": [
                "arn:aws:secretsmanager:'$REGION':'$ACCOUNT_ID':secret:do-not-delete-rds-custom-*"
            ]
        },
        {
           "Sid": "8",
           "Effect": "Allow",
           "Action": [
             "s3:ListBucketVersions"
           ],
           "Resource": [
             "arn:aws:s3:::do-not-delete-rds-custom-*"
           ]
         },
         {
            "Sid": "9",
            "Effect": "Allow",
            "Action": "ec2:CreateSnapshots",
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ec2:*:*:volume/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/AWSRDSCustom": "custom-oracle"
                }
            }
          },
          {
            "Sid": "10",
            "Effect": "Allow",
            "Action": "ec2:CreateSnapshots",
            "Resource": [
                "arn:aws:ec2:*::snapshot/*"
            ]
          },
          {
            "Sid": "11",
            "Effect": "Allow",
            "Action": [
              "kms:Decrypt",
              "kms:GenerateDataKey"
            ],
            "Resource": [
              "arn:aws:kms:'$REGION':'$ACCOUNT_ID':key/'$KMS_KEY'"
            ]
          },
          {
            "Sid": "12",
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ec2:CreateAction": [
                        "CreateSnapshots"
                    ]
                }
            }
        }
    ]
}'

步驟 3：建立 RDS 自訂執行個體設定檔 AWSRDSCustomInstanceProfile

執行個體設定檔是包含單一 IAM 角色的容器。RDS Custom 會使用執行個體設定檔，將角色傳遞到執行個體。

如果您使用 CLI 建立角色，則建立角色與執行個體設定檔為不同動作，且可以使用不同名稱。依照下列方式建立 IAM 執行個體設定檔，並以格式 AWSRDSCustomInstanceProfile-region 命名。下列範例假設您已$REGION將環境變數設定為要 AWS 區域 在其中建立資料庫執行個體的環境變數。

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomInstanceProfile-$REGION

步驟 4：加 AWSRDSCustomInstanceRoleForRdsCustomInstance 入 AWSRDSCustomInstanceProfile

將 IAM 角色新增至先前建立的執行個體設定檔。下列範例假設您已$REGION將環境變數設定為要 AWS 區域 在其中建立資料庫執行個體的環境變數。

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomInstanceProfile-$REGION \
    --role-name AWSRDSCustomInstanceRole-$REGION

步驟 5：將必要許可授予 IAM 使用者或角色

確定建立 CEV 或 RDS 自訂資料庫執行個體的 IAM 主體 (使用者或角色) 具有下列其中一項政策：

Amazon S3 和 AWS KMS所需的 IAM 許可

若要為 Oracle 資料庫執行個體建立 CEV 或 RDS 自訂，您的 IAM 主體需要存取 Amazon S3 和 AWS KMS. 以下範例 JSON 政策授予必要許可。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

如需 kms:CreateGrant 許可的詳細資訊，請參閱 AWS KMS key 管理。

建立 CEV 所需的 IAM 許可

若要建立 CEV，您的 IAM 主體需要下列其他許可：

s3:GetObjectAcl
s3:GetObject
s3:GetObjectTagging
s3:ListBucket
mediaimport:CreateDatabaseBinarySnapshot

以下範例 JSON 政策授予額外的必要許可，以存取儲存貯體 my-custom-installation-files 及其內容。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AccessToS3MediaBucket",
            "Effect": "Allow",
            "Action": [
                "s3:GetObjectAcl",
                "s3:GetObject",
                "s3:GetObjectTagging",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::my-custom-installation-files",
                "arn:aws:s3:::my-custom-installation-files/*"
            ]
        },
        {
            "Sid": "PermissionForByom",
            "Effect": "Allow",
            "Action": [
                "mediaimport:CreateDatabaseBinarySnapshot"
            ],
            "Resource": "*"
        }
    ]
}

您可以使用 S3 儲存貯體政策，將 Amazon S3 的類似許可授予呼叫者的帳戶。

從 CEV 建立資料庫執行個體所需的 IAM 許可

若要從現有 CEV 建立適用於 Oracle 資料庫執行個體的 RDS 自訂，IAM 主體需要下列其他許可。

iam:SimulatePrincipalPolicy
cloudtrail:CreateTrail
cloudtrail:StartLogging

下列範例 JSON 政策授予 AWS CloudTrail驗證 IAM 角色和日誌資訊所需的必要許可。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        }
    ]
}

步驟 6：為 Oracle 設定適用於 RDS 的自訂 VPC 人雲端

根據 Amazon VPC 服務，您的 RDS Custom 資料庫執行個體位於虛擬私有雲端 (VPC)，就像是 Amazon EC2 執行個體或 Amazon RDS 執行個體。您可以提供和設定您自己的 VPC。與 RDS Custom for SQL Server 不同，RDS Custom for Oracle 不會建立存取控制清單或安全群組。您必須連接自己的安全群組、子網路和路由表。

您可以使用 CloudFormation 或手動程序來設定虛擬私有雲 (VPC)。

使用 CloudFormation (建議) 設定您的 VPC

若您已經為不同的 RDS Custom 引擎設定 VPC，且要重複使用現有 VPC，請略過此步驟。此區段假設如下：

當您將 CloudFormation 範本用於 VPC 時，它會建立下列資源：

為 Oracle 的 RDS 自訂手動設定您的 VPC 人雲端

除了使用自動化 VPC 建立之外 AWS CloudFormation，您還可以手動設定 VPC。當您有使用現有資源的複雜網路設定時，此選項可能是最佳選擇。

確保您的 VPC 可以依賴存取 AWS 服務

RDS Custom 會將通訊從您的資料庫執行個體傳送到其他 AWS 服務。請確定可從建立 RDS 自訂資料庫執行個體的子網路存取下列服務：

建立異地同步備份部署

如果 RDS Custom 無法與必要的服務通訊，則會發佈下列事件：

Database instance in incompatible-network. SSM Agent connection not available. Amazon RDS can't connect to the dependent AWS services.

Database instance in incompatible-network. Amazon RDS can't connect to dependent AWS services. Make sure port 443 (HTTPS) allows outbound connections, and try again. "Failed to connect to the following services: s3 events"

若要避免incompatible-network錯誤，請確定 RDS 自訂資料庫執行個體之間的通訊涉及 VPC 元件，並 AWS 服務 符合下列需求：

若您已經為不同的 RDS Custom 資料庫引擎設定 VPC，您可重複使用該 VPC 並略過此程序。

設定個體中繼資料服務

請確定您的執行個體可以執行下列操作：

如需詳細資訊，請參閱 Amazon EC2 使用者指南中的使用 ImDSv2。

RDS Custom for Oracle 自動化預設會藉由在基礎 Amazon EC2 執行個體上設定 HttpTokens=enabled 來使用 IMDSv2。不過，您也可以根據需要使用 IMDSV1。如需詳細資訊，請參閱 Amazon EC2 使用者指南中的設定執行個體中繼資料選項。