本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定您的 Amazon RDS Custom for SQL Server 的環境

建立和管理 Amazon RDS Custom for SQL Server 資料庫執行個體的資料庫執行個體之前，請務必執行下列任務。

設定 RDS Custom for SQL Server 的先決條件

建立 RDS Custom to SQL Server 資料庫執行個體之前，請確定您的環境符合本主題中所述的需求。您也可以使用 CloudFormation 範本來設定 AWS 帳戶. 如需更多資訊，請參閱配置 AWS CloudFormation

適用於 SQL 伺服器的 RDS 自訂需要您設定下列必要條件：

如需適用於 RDS Custom for SQL Server 的一般需求，請參閱 RDS Custom for SQL Server 的一般需求。

自動建立執行個體設定檔，使 AWS Management Console

RDS 自訂需要您建立並設定執行個體設定檔，以啟動任何適用於 SQL Server 資料庫執行個體的 RDS 自訂。使用在 AWS Management Console 單一步驟中建立和附加新執行個體設定檔。此選項位於 [建立資料庫]、[還原快照] 和 [還原到時間主控台] 頁面中的 [RDS 自訂安全性] 區段下提供。選擇 [建立新執行個體設定檔] 以提供執行個體設定檔名稱尾碼。會 AWS Management Console 建立具有 RDS 自動化工作所需權限的新執行個體設定檔。若要自動建立新的執行個體設定檔，您的登入 AWS Management Console 使用者必須擁有iam:CreateInstanceProfile、iam:AddRoleToInstanceProfileiam:CreateRole、和iam:AttachRolePolicy權限。

步驟 1：將所需許可授予 IAM 主體

請確定您有足夠的存取權來建立 RDS 自訂執行個體。使用主控台或 CLI 建立適用於 SQL Server 資料庫執行個體的 RDS 自訂 IAM 角色或 IAM 使用者 (稱為 IAM 主體) 必須具有下列其中一項政策，才能成功建立資料庫執行個體：

以下範例 JSON 政策授予必要許可。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

此外，IAM 主體在 IAM 角色上需要 iam:PassRole 許可。這必須連接到在請求中以 custom-iam-instance-profile 參數傳遞的執行個體，才能建立 RDS Custom 資料庫執行個體。稍後會在 步驟 2：設定網路、執行個體設定檔和加密 中建立執行個體設定檔及其連接的角色。

步驟 2：設定網路、執行個體設定檔和加密

您可以使用下列其中一個程序來設定 IAM 執行個體設定檔角色、虛擬私有雲 (VPC) 和 AWS KMS 對稱加密金鑰：

配置 AWS CloudFormation

若要簡化設定，您可以使用 AWS CloudFormation 範本檔案建立 CloudFormation堆疊。 CloudFormation 範本會根據 RDS Custom 的需求，建立所有網路、執行個體設定檔和加密資源。

若要瞭解如何建立堆疊，請參閱AWS CloudFormation 使用者指南中的在 AWS CloudFormation 主控台上建立堆疊。

如需有關如何使用 AWS CloudFormation 範本啟動適用於 SQL 伺服器的 Amazon RDS 自訂教學課程，請參閱使用AWS 資料庫部落格中的 AWS CloudFormation 範本開始使用 SQL 伺服器的 Amazon RDS 自訂。

所需的參數 CloudFormation

若要設定 RDS 自訂必要條件資源，需要下列參數 CloudFormation：

下載 AWS CloudFormation 範本檔

使用配置資源 CloudFormation

CloudFormation 建立適用於 SQL 伺服器的 RDS 自訂所需的資源。如果堆疊建立失敗，請詳讀 Events 索引標籤，查看哪些資源建立失敗及其狀態原因。

主控台中此 CloudFormation 堆疊的 [輸出] 索引標籤應包含要作為建立 SQL Server 資料庫執行個體 RDS 自訂參數傳遞的所有資源的相關資訊。請務必使用 CloudFormation 針對 RDS 自訂資料庫執行個體建立的 VPC 安全群組和資料庫子網路群組。依預設，RDS 會嘗試連接預設的 VPC 安全群組，此群組可能沒有您需要的存取權。

如果您曾經 CloudFormation 建立資源，則可以略過手動設定。

手動設定

如果您選擇手動設定資源，請執行以下任務。

確定您擁有對稱式加密金鑰 AWS KMS

RDS 自訂需要 AWS KMS key 對稱加密。當您建立適用於 SQL Server 資料庫執行個體的 RDS 自訂時，請務必提供 KMS 金鑰識別碼做為參數kms-key-id。如需詳細資訊，請參閱 建立並連線至 Amazon RDS Custom for SQL Server 的資料庫執行個體。

您有下列選項：

確保您的對稱加密金鑰授kms:Decrypt與存取 IAM 執行個體設定檔中 AWS Identity and Access Management (IAM) 角色的存取權和kms:GenerateDataKey操作。若您的帳戶中有新的對稱加密金鑰，則不需要變更。否則，請確定對稱加密金鑰政策授予這些操作的存取權。

如需詳細資訊，請參閱 步驟 4：設定適用於 Oracle 的 RDS 自訂 IAM。

手動建立 IAM 角色和執行個體設定檔

您可以手動建立執行個體設定檔，並使用它來啟動 RDS 自訂執行個體。如果您打算在中建立執行個體 AWS Management Console，請略過本節。 AWS Management Console 可讓您建立執行個體設定檔，並將其附加至 RDS 自訂資料庫執行個體。如需詳細資訊，請參閱 自動建立執行個體設定檔，使 AWS Management Console。

手動建立執行個體設定檔時，請將執行個體設定檔名稱做為custom-iam-instance-profile參數傳遞至 create-db-instance CLI 指令。RDS Custom 會使用與此執行個體設定檔相關聯的角色執行自動化來管理執行個體。

建立 AWSRDSCustomSQLServerInstanceRole IAM 角色

下列範例會建立 AWSRDSCustomSQLServerInstanceRole 角色。信任政策可讓 Amazon EC2 擔任角色。

aws iam create-role \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --assume-role-policy-document '{
        "Version": "2012-10-17",
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": "ec2.amazonaws.com"
              }
            }
          ]
        }'

將存取原則新增至 AWSRDSCustomSQLServerInstanceRole

若要提供必要的權限，請將 AWS 受管理的原則附加AmazonRDSCustomInstanceProfileRolePolicy至AWSRDSCustomSQLServerInstanceRole。 AmazonRDSCustomInstanceProfileRolePolicy允許 RDS 自訂執行個體傳送和接收訊息，以及執行各種自動化動作。

下列範例會將 AWS 受管理的原則附加AWSRDSCustomSQLServerIamRolePolicy至AWSRDSCustomSQLServerInstanceRole角色。

aws iam attach-role-policy \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonRDSCustomInstanceProfileRolePolicy

建立您的 RDS Custom for SQL Server 執行個體設定檔

執行個體設定檔是包含單一 IAM 角色的容器。RDS Custom 會使用執行個體設定檔，將角色傳遞到執行個體。

如果您使用 AWS Management Console 為 Amazon EC2 建立角色，主控台會自動建立執行個體設定檔，並為其提供與建立角色時相同的名稱。如下所示建立您的執行個體設定檔，將它命名為 AWSRDSCustomSQLServerInstanceProfile。

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile

新增 AWSRDSCustomSQLServerInstanceRole 至您的 RDS 自訂 SQL 伺服器執行個體設定檔

將AWSRDSCustomInstanceRoleForRdsCustomInstance角色新增至先前建立的AWSRDSCustomSQLServerInstanceProfile設定檔。

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile \
    --role-name AWSRDSCustomSQLServerInstanceRole

手動設定您的 VPC

根據 Amazon VPC 服務，您的 RDS Custom 資料庫執行個體位於虛擬私有雲端 (VPC)，就像是 Amazon EC2 執行個體或 Amazon RDS 執行個體。您可以提供和設定您自己的 VPC。因此，您可以完全控制您的執行個體網絡設定。

RDS Custom 會將通訊從您的資料庫執行個體傳送到其他 AWS 服務。請確定可從建立 RDS 自訂資料庫執行個體的子網路存取下列服務：

建立異地同步備份部署

如果 RDS Custom 無法與必要的服務通訊，則會發佈下列事件：

Database instance in incompatible-network. SSM Agent connection not available. Amazon RDS can't connect to the dependent AWS services.

Database instance in incompatible-network. Amazon RDS can't connect to dependent AWS services. Make sure port 443 (HTTPS) allows outbound connections, and try again. "Failed to connect to the following services: s3 events"

若要避免incompatible-network錯誤，請確定 RDS 自訂資料庫執行個體之間的通訊涉及 VPC 元件，並 AWS 服務 符合下列需求：

若您已經為不同的 RDS Custom 資料庫引擎設定 VPC，您可重複使用該 VPC 並略過此程序。

設定您的 VPC 安全群組

安全群組會做為 VPC 執行個體的虛擬防火牆，控制傳入及傳出流量。RDS 自訂資料庫執行個體具有連接到其網路介面的安全群組，以保護執行個體。請確定您的安全性群組允許 RDS 自訂和其他 AWS 服務 透過 HTTPS 之間的流量。您可以在執行個體建立要求中傳遞這個安全性群組做為vpc-security-group-ids參數。

如需安全群組的詳細資訊，請參閱《Amazon VPC 開發人員指南》中的您的 VPC 的安全群組。

設定相依項目的端點 AWS 服務

建議您使用下列指示將每個服務的端點新增至 VPC。但是，您可以使用任何可讓 VPC 與 AWS 服務端點通訊的解決方案。例如，您可以使用網路位址轉譯 (NAT) 或 AWS Direct Connect。

下表說明如何尋找您的 VPC 傳出通訊所需的端點清單。

設定個體中繼資料服務

請確定您的執行個體可以執行下列操作：

如需詳細資訊，請參閱 Amazon EC2 使用者指南中的使用 IMDSv2。

跨執行個體限制

當您依照上述步驟建立執行個體設定檔時，它會使用 AWS 受管理的原則，AmazonRDSCustomInstanceProfileRolePolicy為 RDS Custom 提供必要的權限，讓執行個體管理和監控自動化。受管理的原則可確保權限僅允許存取 RDS Custom 執行自動化所需的資源。我們建議您使用受管政策來支援新功能，並解決安全性需求，這些功能會自動套用至現有的執行個體設定檔，而無需手動 如需詳細資訊，請參閱AWS 受管政策：亞馬遜 R DSCusto m. InstanceProfile RolePolicy

受AmazonRDSCustomInstanceProfileRolePolicy管理政策會限制執行個體設定檔具有跨帳戶存取權，但可能允許存取相同帳戶內 RDS Custom 執行個體之間的某些 RDS Custom 受管資源。根據您的需求，您可以使用權限界限進一步限制跨執行個體存取。權限界限定義了以身分識別為基礎的原則可以授與給實體的最大權限，但不會自行授與權限。如需詳細資訊，請參閱使用界限評估有效權限。

例如，下列原則會限制執行個體設定檔角色存取特定金 AWS KMS 鑰，並限制所有使用不同 AWS KMS 金鑰的執行個體對 RDS Custom 受管資源的存取。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOtherKmsKeyAccess",
            "Effect": "Deny",
            "Action": "kms:*",
            "NotResource": "arn:aws:kms:region:acct_id:key/KMS_key_ID"
        },
        {
            "Sid": "NoBoundarySetByDefault",
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}