Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de votre environnement pour Amazon RDS Custom for SQL Server

Avant de créer et de t degérer une instance de base de données Amazon RDS Custom for SQL Server, vous devez effectuer les tâches suivantes.

Conditions préalables à la configuration de RDS Custom for SQL Server

Avant de créer une instance de base de données RDS Custom for SQL Server, assurez-vous que votre environnement satisfait aux exigences décrites dans cette rubrique. Vous pouvez également utiliser le CloudFormation modèle pour configurer les prérequis au sein de votre Compte AWS. Pour de plus amples informations, consultez Configuration avec AWS CloudFormation.

RDS Custom pour SQL Server nécessite que vous configuriez les conditions préalables suivantes :

Pour connaître les exigences générales applicables à RDS Custom for SQL Server, consultez Exigences générales pour RDS Custom for SQL Server.

Création automatique de profils d'instance à l'aide du AWS Management Console

RDS Custom vous oblige à créer et à configurer un profil d'instance pour lancer toute instance de base de données RDS Custom pour SQL Server. Utilisez le AWS Management Console pour créer et associer un nouveau profil d'instance en une seule étape. Cette option est disponible dans la section Sécurité personnalisée RDS des pages Créer une base de données, Restaurer un instantané et Restaurer vers un point précis de la console. Choisissez Créer un nouveau profil d'instance pour fournir un suffixe de nom de profil d'instance. AWS Management Console crée un nouveau profil d'instance doté des autorisations requises pour les tâches d'automatisation personnalisées RDS. Pour créer automatiquement de nouveaux profils d'instance, votre AWS Management Console utilisateur connecté doit disposer des autorisationsiam:CreateInstanceProfile, iam:AddRoleToInstanceProfileiam:CreateRole, et. iam:AttachRolePolicy

Étape 1 : accordez les autorisations requises à votre principal IAM

Assurez-vous que vous disposez d'un accès suffisant pour créer une instance personnalisée RDS. Le rôle IAM ou l'utilisateur IAM (appelé principal IAM) chargé de créer une instance de base de données RDS Custom pour SQL Server à l'aide de la console ou de la CLI doit disposer de l'une des politiques suivantes pour une création d'instance de base de données réussie :

L'exemple de politique JSON suivant accorde les autorisations requises.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

Le principal IAM a besoin des autorisations supplémentaires suivantes pour travailler avec des versions de moteur personnalisées (CEVs) :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ConfigureKmsKeyEncryptionPermission",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo",
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:region:account_id:key/key_id"
        },
        {
            "Sid": "CreateEc2Instance",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:RunInstances",
                "ec2:CreateTags"
            ],
            "Resource": "*"
        }
    ]
}

account_idRemplacez-le par l'ID du compte que vous utilisez pour créer votre instance. regionRemplacez-le par celui Région AWS que vous utilisez pour créer votre instance. Remplacez key_id par votre ID de clé gérée par le client. Vous pouvez ajouter plusieurs clés selon vos besoins.

Pour plus d'informations sur les autorisations au niveau des ressources requises pour lancer une EC2 instance, consultez Launch instances () RunInstances.

En outre, le principal IAM exige l'autorisation iam:PassRole sur le rôle IAM. Elle doit être attachée au profil d'instance transmis dans le paramètre custom-iam-instance-profile de la demande de création de l'instance de base de données RDS Custom. Le profil d'instance et son rôle attaché sont créés ultérieurement dans Étape 2 : Configuration du réseau, du profil d'instance et du chiffrement.

Étape 2 : Configuration du réseau, du profil d'instance et du chiffrement

Vous pouvez configurer votre rôle de profil d'instance IAM, votre cloud privé virtuel (VPC) AWS KMS et votre clé de chiffrement symétrique en utilisant l'un des processus suivants :

Configuration avec AWS CloudFormation

Pour simplifier la configuration, vous pouvez utiliser un fichier AWS CloudFormation modèle pour créer une CloudFormation pile. Un CloudFormation modèle crée toutes les ressources réseau, les profils d'instance et les ressources de chiffrement conformément aux exigences de RDS Custom.

Pour savoir comment créer des piles, consultez la section Création d'une pile sur la AWS CloudFormation console dans le Guide de l'AWS CloudFormation utilisateur.

Pour un didacticiel expliquant comment lancer Amazon RDS Custom pour SQL Server à l'aide d'un AWS CloudFormation modèle, consultez Commencer à utiliser Amazon RDS Custom pour SQL Server à l'aide d'un AWS CloudFormation modèle sur le blog de AWS base de données.

Paramètres requis par CloudFormation

Les paramètres suivants sont requis pour configurer les ressources prérequises RDS Custom avec CloudFormation :

Télécharger le fichier AWS CloudFormation modèle

Configuration des ressources à l'aide de CloudFormation

CloudFormation crée les ressources requises par RDS Custom for SQL Server. Si la création de la pile échoue, consultez l'onglet Events (Événements) pour voir quelle création de ressource a échoué et le motif de l'échec.

L'onglet Sorties de cette CloudFormation pile de la console doit contenir des informations sur toutes les ressources à transmettre en tant que paramètres pour créer une instance de base de données RDS Custom for SQL Server. Assurez-vous d'utiliser le groupe de sécurité VPC et le groupe de sous-réseaux de base de données créés par CloudFormation pour les instances de base de données personnalisées RDS. Par défaut, RDS tente d'attacher le groupe de sécurité VPC par défaut, qui peut ne pas avoir l'accès dont vous avez besoin.

Si vous aviez CloudFormation l'habitude de créer des ressources, vous pouvez ignorerConfiguration manuelle.

Configuration manuelle

Si vous choisissez de configurer les ressources manuellement, exécutez les tâches suivantes.

Vérifiez que vous disposez d'une clé de chiffrement AWS KMS symétrique

Un chiffrement symétrique AWS KMS key est requis pour RDS Custom. Lorsque vous créez une instance de base de données RDS Custom pour SQL Server, assurez-vous de fournir l'identifiant de clé KMS en tant que paramètrekms-key-id. Pour de plus amples informations, veuillez consulter Création et connexion à une instance de base de données pour Amazon RDS Custom for SQL Server.

Vous avez les options suivantes :

Assurez-vous que votre clé de chiffrement symétrique autorise l'accès au rôle (IAM) kms:Decrypt et aux kms:GenerateDataKey opérations du rôle AWS Identity and Access Management (IAM) dans votre profil d'instance IAM. Si votre compte contient une nouvelle clé de chiffrement symétrique, aucune modification n'est requise. Sinon, veillez à ce que la stratégie de votre clé de chiffrement symétrique puisse fournir l'accès à ces opérations.

Pour de plus amples informations, veuillez consulter Étape 4 : Configuration personnalisée d'IAM pour RDS pour Oracle.

Création manuelle de votre profil d'instance et de votre rôle IAM

Vous pouvez créer manuellement un profil d'instance et l'utiliser pour lancer des instances personnalisées RDS. Si vous envisagez de créer l'instance dans le AWS Management Console, ignorez cette section. Vous AWS Management Console permet de créer et d'associer un profil d'instance à vos instances de base de données personnalisées RDS. Pour de plus amples informations, veuillez consulter Création automatique de profils d'instance à l'aide du AWS Management Console.

Lorsque vous créez manuellement un profil d'instance, transmettez le nom du profil d'instance en tant que custom-iam-instance-profile paramètre à votre commande create-db-instance CLI. RDS Custom utilise le rôle associé à ce profil d'instance pour exécuter l'automatisation afin de gérer l'instance.

Création du rôle AWSRDSCustom SQLServer InstanceRole IAM

L'exemple suivant crée le rôle AWSRDSCustomSQLServerInstanceRole. La politique de confiance permet à Amazon d' EC2assumer le rôle.

aws iam create-role \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --assume-role-policy-document '{
        "Version": "2012-10-17",
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": "ec2.amazonaws.com"
              }
            }
          ]
        }'

Ajoutez une politique d'accès à AWSRDSCustom SQLServer InstanceRole

Pour fournir les autorisations requises, attachez la politique AWS gérée AmazonRDSCustomInstanceProfileRolePolicy àAWSRDSCustomSQLServerInstanceRole. AmazonRDSCustomInstanceProfileRolePolicypermet aux instances personnalisées RDS d'envoyer et de recevoir des messages et d'effectuer diverses actions d'automatisation.

L'exemple suivant associe une politique AWS gérée AWSRDSCustomSQLServerIamRolePolicy au AWSRDSCustomSQLServerInstanceRole rôle.

aws iam attach-role-policy \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonRDSCustomInstanceProfileRolePolicy

Création de votre profil d'instance RDS Custom for SQL Server

Un profil d'instance est un conteneur qui inclut un rôle IAM unique. RDS Custom utilise le profil d'instance pour transmettre le rôle à l'instance.

Si vous utilisez le AWS Management Console pour créer un rôle pour Amazon EC2, la console crée automatiquement un profil d'instance et lui donne le même nom que le rôle lors de sa création. Créez votre profil d'instance comme suit, en le nommant AWSRDSCustomSQLServerInstanceProfile.

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile

Ajoutez AWSRDSCustom SQLServer InstanceRole à votre profil d'instance RDS Custom pour SQL Server

Ajoutez le AWSRDSCustomInstanceRoleForRdsCustomInstance rôle au AWSRDSCustomSQLServerInstanceProfile profil créé précédemment.

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile \
    --role-name AWSRDSCustomSQLServerInstanceRole

Configuration manuelle de votre VPC

Votre instance de base de données personnalisée RDS se trouve dans un cloud privé virtuel (VPC) basé sur le service Amazon VPC, tout comme une instance Amazon ou une EC2 instance Amazon RDS. Vous fournissez et configurez votre propre VPC. Vous disposez ainsi d'un contrôle total sur la configuration réseau de votre instance.

RDS Custom envoie la communication de votre instance de base de données vers d'autres Services AWS. Assurez-vous que les services suivants sont accessibles depuis le sous-réseau dans lequel vous créez vos instances de base de données personnalisées RDS :

Si vous créez des déploiements multi-AZ

Si RDS Custom ne parvient pas à communiquer avec les services nécessaires, il publie les événements suivants :

Database instance in incompatible-network. SSM Agent connection not available. Amazon RDS can't connect to the dependent AWS services.

Database instance in incompatible-network. Amazon RDS can't connect to dependent AWS services. Make sure port 443 (HTTPS) allows outbound connections, and try again. "Failed to connect to the following services: s3 events"

Pour éviter les incompatible-network erreurs, assurez-vous que les composants VPC impliqués dans la communication entre votre instance de base de données personnalisée RDS Services AWS répondent aux exigences suivantes :

Si vous avez déjà configuré un VPC pour un moteur de base de données RDS Custom différent, vous pouvez réutiliser ce VPC et ignorer ce processus.

Configurez vos groupes de sécurité VPC

Un groupe de sécurité agit comme un pare-feu virtuel pour une instance de VPC, et contrôle le trafic entrant et sortant. Une instance de base de données personnalisée RDS possède un groupe de sécurité attaché à son interface réseau qui protège l'instance. Assurez-vous que votre groupe de sécurité autorise le trafic entre RDS Custom et d'autres Services AWS via HTTPS. Vous transmettez ce groupe de sécurité comme vpc-security-group-ids paramètre dans la demande de création d'instance.

Pour plus d'informations sur les groupes de sécurité, consultez Groupes de sécurité pour votre VPC dans le Guide du développeur Amazon VPC.

Configurer les points de terminaison pour les personnes dépendantes Services AWS

Nous vous recommandons d'ajouter des points de terminaison pour chaque service à votre VPC en suivant les instructions ci-dessous. Cependant, vous pouvez utiliser n'importe quelle solution permettant à votre VPC de communiquer avec les points de terminaison de AWS service. Vous pouvez, par exemple, utiliser la traduction d'adresses réseau (NAT) ou AWS Direct Connect.

Le tableau suivant explique comment trouver la liste des points de terminaison dont votre VPC a besoin pour les communications sortantes.

Configuration du service des métadonnées d'instance

Assurez-vous que votre instance peut effectuer les opérations suivantes :

Pour plus d'informations, consultez la section Utilisation IMDSv2 dans le guide de EC2 l'utilisateur Amazon.

Restriction entre instances

Lorsque vous créez un profil d'instance en suivant les étapes ci-dessus, il utilise la politique AWS gérée AmazonRDSCustomInstanceProfileRolePolicy pour fournir les autorisations requises à RDS Custom, ce qui permet la gestion des instances et l'automatisation de la surveillance. La politique gérée garantit que les autorisations n'autorisent l'accès qu'aux ressources dont RDS Custom a besoin pour exécuter l'automatisation. Nous recommandons d'utiliser la politique gérée pour prendre en charge les nouvelles fonctionnalités et répondre aux exigences de sécurité qui sont automatiquement appliquées aux profils d'instance existants sans intervention manuelle. Pour plus d'informations, consultez la politique AWS gérée : Amazon RDSCusto InstanceProfileRolePolicym.

La politique AmazonRDSCustomInstanceProfileRolePolicy gérée limite l'accès entre comptes au profil d'instance, mais elle peut autoriser l'accès à certaines ressources gérées RDS Custom sur plusieurs instances RDS Custom au sein d'un même compte. En fonction de vos besoins, vous pouvez utiliser des limites d'autorisation pour restreindre davantage l'accès entre instances. Les limites d'autorisation définissent les autorisations maximales que les politiques basées sur l'identité peuvent accorder à une entité, mais elles n'accordent pas d'autorisations en elles-mêmes. Pour plus d'informations, consultez la section Évaluation des autorisations effectives avec des limites.

Par exemple, la politique de limite suivante limite le rôle du profil d'instance à l'accès à une AWS KMS clé spécifique et limite l'accès aux ressources gérées RDS Custom entre les instances qui utilisent des clés différentes AWS KMS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOtherKmsKeyAccess",
            "Effect": "Deny",
            "Action": "kms:*",
            "NotResource": "arn:aws:kms:region:acct_id:key/KMS_key_ID"
        },
        {
            "Sid": "NoBoundarySetByDefault",
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}