Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de SQL Server

Effectuez ces étapes dans votre environnement SQL Server pour permettre la modernisation de AWS Transform.

Installation et configuration de la base de données

Étape 1 : créer un utilisateur de base de données avec les autorisations requises

Créez un utilisateur de base de données dédié pour AWS Transform avec les autorisations nécessaires. Si vous avez déjà un utilisateur de conversion de schéma DMS, vous pouvez le réutiliser.

Connectez-vous à votre instance SQL Server et exécutez les commandes suivantes :

-- Create the login in master database
USE master;
CREATE LOGIN [atx_user] WITH PASSWORD = 'YourStrongPassword123!';

-- Switch to your application database
USE [YourDatabaseName];
CREATE USER [atx_user] FOR LOGIN [atx_user];

-- Grant required permissions
GRANT VIEW DEFINITION TO [atx_user];
GRANT VIEW DATABASE STATE TO [atx_user];
ALTER ROLE [db_datareader] ADD MEMBER [atx_user];

-- Grant master database permissions
USE master;
GRANT VIEW SERVER STATE TO [atx_user];
GRANT VIEW ANY DEFINITION TO [atx_user];

Le rôle db_datareader n'est nécessaire que pour la migration des données, pas uniquement pour la conversion de schéma.

Étape 2 : Stocker les informations d'identification dans AWS Secrets Manager

Stockez les informations d'identification de votre base de données en toute sécurité dans AWS Secrets Manager. Ignorez cette étape si vous avez déjà créé un secret pour DMS.

Étape 3 : Création des rôles DMS requis

AWS Transform nécessite des rôles IAM spécifiques pour les opérations DMS. Déployez ces rôles à l'aide du CloudFormation modèle ci-dessous.

Créez un fichier nommé dms-roles.yaml avec le contenu suivant :

AWSTemplateFormatVersion: '2010-09-09'
Description: 'DMS Service Roles for AWS Transform SQL Server Modernization'

Resources:
  DMSCloudWatchLogsRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-cloudwatch-logs-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AmazonDMSCloudWatchLogsRole

  DMSS3AccessRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-s3-access-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: S3TaggedAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - s3:GetBucketLocation
                  - s3:GetBucketVersioning
                  - s3:PutObject
                  - s3:PutBucketVersioning
                  - s3:GetObject
                  - s3:GetObjectVersion
                  - s3:ListBucket
                  - s3:DeleteObject
                Resource: arn:aws:s3:::atx-db-modernization-*
                Condition:
                  StringEquals:
                    aws:ResourceAccount: !Ref AWS::AccountId

  DMSSecretsManagerRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-secrets-manager-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: SecretsManagerTaggedAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - secretsmanager:GetSecretValue
                  - secretsmanager:DescribeSecret
                Resource: '*'
                Condition:
                  StringEquals:
                    secretsmanager:ResourceTag/Project: atx-db-modernization
                    secretsmanager:ResourceTag/Owner: database-connector

  DMSVPCRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-vpc-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AmazonDMSVPCManagementRole

  DMSServerlessRole:
    Type: AWS::IAM::ServiceLinkedRole
    Properties:
      AWSServiceName: dms.amazonaws.com
      Description: 'Service Linked Role for AWS DMS Serverless'

Outputs:
  DMSCloudWatchLogsRoleArn:
    Description: ARN of the DMS CloudWatch Logs Role
    Value: !GetAtt DMSCloudWatchLogsRole.Arn
  DMSS3AccessRoleArn:
    Description: ARN of the DMS S3 Access Role
    Value: !GetAtt DMSS3AccessRole.Arn
  DMSSecretsManagerRoleArn:
    Description: ARN of the DMS Secrets Manager Role
    Value: !GetAtt DMSSecretsManagerRole.Arn
  DMSVPCRoleArn:
    Description: ARN of the DMS VPC Role
    Value: !GetAtt DMSVPCRole.Arn
    Export:
      Name: !Sub ${AWS::StackName}-VPCRole

  DMSServerlessRoleArn:
    Description: ARN of the DMS Serverless Role
    Value: !Sub 'arn:aws:iam::${AWS::AccountId}:role/aws-service-role/dms.amazonaws.com/AWSServiceRoleForDMSServerless'
    Export:
      Name: !Sub ${AWS::StackName}-ServerlessRole

Déployez la CloudFormation pile à l'aide de la AWS CLI :

aws cloudformation create-stack \
  --stack-name dms-roles \
  --template-body file://dms-roles.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-east-1

Ou déployez à l'aide de la AWS console :

Étape 4 : Configuration de la sécurité du réseau

Garantissez une connectivité réseau adéquate entre AWS Transform, votre base de données SQL Server et les autres AWS services.

Configuration du groupe de sécurité (approche recommandée)

Approche recommandée : utilisez un contrôle d'accès basé sur les groupes de sécurité plutôt que IP-based des règles. Cela améliore la sécurité, facilite la gestion et fonctionne parfaitement avec l'architecture de AWS Transform.

Pourquoi choisir le contrôle Group-Based d'accès sécurisé ?

Configuration de votre groupe de sécurité SQL Server

Lorsque vous configurez le profil d'instance de conversion du schéma DMS dans AWS Transform, vous spécifiez un groupe de sécurité pour l'instance DMS SC. Le groupe de sécurité de votre base de données doit autoriser le trafic entrant en provenance de ce groupe de sécurité DMS SC.

Step-by-step configuration :

Obligatoire AWS connectivité du service

Assurez-vous que votre VPC peut communiquer avec :

Points de terminaison VPC : pour les réseaux privés, configurez les points de terminaison VPC pour les AWS services requis afin d'éviter les dépendances liées aux passerelles Internet.

Exigences relatives aux bases de données hébergées en externe

Si votre base de données SQL Server est hébergée en dehors de AWS, assurez-vous que les conditions préalables suivantes sont remplies, puis effectuez les étapes de configuration avant de commencer la modernisation.

Conditions préalables

Étapes de configuration