Uso di gruppi di opzioni

Alcuni motori di database offrono caratteristiche aggiuntive che semplificano la gestione di dati e database e forniscono ulteriore sicurezza per il database. Amazon RDS utilizza gruppi di opzioni per abilitare e configurare queste funzionalità. Un gruppo di opzioni può specificare le caratteristiche, denominate opzioni, disponibili per una determinata istanza database Amazon RDS. Le opzioni possono includere impostazioni che specificano il funzionamento delle opzioni stesse. Quando associ un'istanza database a un gruppo di opzioni, le opzioni e impostazioni delle opzioni specificate vengono abilitate per l'istanza database in questione.

Amazon RDS supporta opzioni per i motori di database seguenti:

Panoramica dei gruppi di opzioni

Amazon RDS include un gruppo di opzioni predefinito vuoto per ogni nuova istanza database. Non puoi modificare o eliminare questo gruppo di opzioni predefinito, ma qualsiasi nuovo gruppo di opzioni creato deriva le proprie impostazioni dal gruppo di opzioni predefinito. Per applicare un'opzione a un'istanza database, devi eseguire queste operazioni:

A un gruppo di opzioni puoi associare sia istanze database sia snapshot del database. In alcuni casi, è possibile eseguire un ripristino da uno snapshot del database o eseguire un ripristino con riferimento temporale per un'istanza database. In questi casi, il gruppo di opzioni associato allo snapshot del database o all'istanza database viene associato, per default, all'istanza database ripristinata. Puoi associare un gruppo di opzioni diverso a un'istanza database ripristinata. Tuttavia, il nuovo gruppo di opzioni deve contenere tutte le opzioni persistenti o permanenti incluse nel gruppo di opzioni originale. Le opzioni persistenti e permanenti vengono descritte di seguito.

L'esecuzione delle opzioni in una istanza database richiede della memoria aggiuntiva. Per questo motivo, a seconda dell'attuale utilizzo dell'istanza database, potresti dover avviare un'istanza di dimensioni maggiori per usarle. Ad esempio, Oracle Enterprise Manager Database Control utilizza circa 300 MB di RAM. Se abiliti questa opzione per una istanza database di piccole dimensioni, potresti riscontrare problemi di prestazioni o errori dovuti all'esaurimento della memoria.

Opzioni persistenti e permanenti

Due tipi di opzioni, le opzioni persistenti e le opzioni permanenti, richiedono un'attenzione speciale quando le aggiungi a un gruppo di opzioni.

Le opzioni persistenti non possono essere rimosse da un gruppo di opzioni mentre le istanze database sono associate al gruppo di opzioni. Un esempio di opzione persistente è l'opzione TDE per la crittografia trasparente dei dati di Microsoft SQL Server. Devi annullare l'associazione di tutte le istanze database dal gruppo di opzioni prima che un'opzione persistente possa essere rimossa dal gruppo di opzioni. In alcuni casi, è possibile eseguire un ripristino o un ripristino con riferimento temporale da uno snapshot del database. In questi casi, se il gruppo di opzioni associato allo snapshot del database contiene un'opzione persistente, puoi associare al gruppo di opzioni solo l'istanza database ripristinata.

Le opzioni permanenti, come l'opzione TDE per Oracle Advanced Security TDE, non possono mai essere rimosse da un gruppo di opzioni. Puoi modificare il gruppo di opzioni di un'istanza di database che utilizza l'opzione permanente. Tuttavia, il gruppo di opzioni associato all'istanza di database deve includere la stessa opzione permanente. In alcuni casi, è possibile eseguire un ripristino o un ripristino con riferimento temporale da uno snapshot del database. In questi casi, se il gruppo di opzioni associato allo specifico snapshot del database contiene un'opzione permanente, puoi associare al gruppo di opzioni con tale opzione permanente solo l'istanza database ripristinata.

Per le istanze Oracle DB, puoi copiare gli snapshot DB condivisi che hanno le opzioni Timezone o OLS (o entrambe). Per eseguire l’operazione, specifica un gruppo di opzioni target che include queste opzioni quando copi lo snapshot DB. L'opzione OLS è permanente e persistente solo per le istanze Oracle DB in esecuzione su Oracle 12.2 o versioni successive. Per ulteriori informazioni su queste opzioni, consulta Fuso orario Oracle e Oracle Label Security.

Considerazioni sul sistema VPC

Il gruppo di opzioni associato all'istanza database è collegato al VPC di tale istanza. Ciò significa che non puoi utilizzare il gruppo di opzioni assegnato a un'istanza database se provi a ripristinare l'istanza in un diverso VPC. Se ripristini un'istanza database su un VPC diverso, puoi eseguire una delle seguenti operazioni:

Con le opzioni persistenti o permanenti, come Oracle TDE, devi creare un nuovo gruppo di opzioni. Questo gruppo di opzioni deve includere l'opzione persistente o permanente durante il ripristino di un'istanza database in un VPC diverso.

Le impostazioni delle opzioni controllano il comportamento di un'opzione. Ad esempio, l'opzione NATIVE_NETWORK_ENCRYPTION di Oracle Advanced Security include un'impostazione che puoi usare per specificare l'algoritmo di crittografia per il traffico di rete da e verso l'istanza database. Alcune impostazioni delle opzioni sono ottimizzate per l'uso con Amazon RDS e non possono essere modificate.

Opzioni reciprocamente esclusive

Alcune opzioni si escludono a vicenda. Puoi usare una o l'altra, ma non entrambe allo stesso tempo. Le opzioni seguenti si escludono a vicenda:

Creazione di un gruppo di opzioni

Puoi creare un nuovo gruppo di opzioni che utilizzi le impostazioni del gruppo di opzioni predefinito. Quindi, aggiungi una o più opzioni al nuovo gruppo di opzioni. In alternativa, se esiste già un gruppo di opzioni, puoi copiarlo con tutte le opzioni in un nuovo gruppo di opzioni. Per ulteriori informazioni, consulta Copia di un gruppo di opzioni.

Dopo aver creato un nuovo gruppo di opzioni, questo non include alcuna opzione. Per informazioni su come aggiungere opzioni al gruppo di opzioni, consulta Aggiunta di un'opzione a un gruppo di opzioni. Dopo aver aggiunto le opzioni desiderate, puoi quindi associare il gruppo di opzioni a un'istanza database. In questo modo, le opzioni diventano disponibili nell'istanza database. Per informazioni sull'associazione di un gruppo di opzioni a un'istanza database, consulta la documentazione relativa al motore in uso in Uso di gruppi di opzioni.

       
aws rds create-option-group \
    --option-group-name testoptiongroup \
    --engine-name oracle-ee \
    --major-engine-version 19 \
    --option-group-description "Test option group for Oracle Database 19c EE"                
                

aws rds create-option-group ^
    --option-group-name testoptiongroup ^
    --engine-name oracle-ee ^-
    --major-engine-version 19 ^
    --option-group-description "Test option group for Oracle Database 19c EE"
                

Copia di un gruppo di opzioni

Per copiare un gruppo di opzioni è possibile utilizzare AWS CLI o l'API di Amazon RDS. Copiare un gruppo di opzioni può essere utile. Ad esempio quando disponi di un gruppo di opzioni e vuoi includere la maggior parte dei suoi parametri e valori personalizzati in un nuovo gruppo di opzioni. Puoi anche eseguire una copia di un gruppo di opzioni usato nell'ambiente di produzione e quindi modificare la copia per testare altre impostazioni delle opzioni.

aws rds copy-option-group \
    --source-option-group-identifier my-option-group \
    --target-option-group-identifier new-option-group \
    --target-option-group-description "My new option group"

aws rds copy-option-group ^
    --source-option-group-identifier my-option-group ^
    --target-option-group-identifier new-option-group ^
    --target-option-group-description "My new option group"

Aggiunta di un'opzione a un gruppo di opzioni

Puoi aggiungere un'opzione a un gruppo di opzioni esistente. Dopo aver aggiunto le opzioni desiderate, puoi quindi associare il gruppo di opzioni a un'istanza database in modo che le opzioni diventino disponibili nell'istanza database. Per informazioni sull'associazione di un gruppo di opzioni a un'istanza database, consulta la documentazione per il motore di database specifico, elencato in Uso di gruppi di opzioni.

Le modifiche del gruppo di opzioni devono essere applicate immediatamente in due casi:

In questi casi, scegli l'opzione Apply immediately (Applica immediatamente) nella console. Altrimenti puoi includere l'opzione --apply-immediately quando usi la AWS CLI o impostare il parametro ApplyImmediately su true quando usi l'API di Amazon RDS. Le opzioni che non includono valori di porta possono essere applicate immediatamente oppure durante la finestra di manutenzione successiva per l’istanza database.

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options "OptionName=Timezone,OptionSettings=[{Name=TIME_ZONE,Value=America/Los_Angeles}]" \
    --apply-immediately

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options "OptionName=Timezone,OptionSettings=[{Name=TIME_ZONE,Value=America/Los_Angeles}]" ^
    --apply-immediately

...{
       "OptionName": "Timezone",
       "OptionDescription": "Change time zone",
       "Persistent": true,
       "Permanent": false,
       "OptionSettings": [
           {
               "Name": "TIME_ZONE",
               "Value": "America/Los_Angeles",
               "DefaultValue": "UTC",
               "Description": "Specifies the timezone the user wants to change the system time to",
               "ApplyType": "DYNAMIC",
               "DataType": "STRING",
               "AllowedValues": "Africa/Cairo,...",
               "IsModifiable": true,
               "IsCollection": false
           }
       ],
       "DBSecurityGroupMemberships": [],
       "VpcSecurityGroupMemberships": []
   }...

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options OptionName=OEM,Port=5500,VpcSecurityGroupMemberships="sg-test1,sg-test2" \
    --apply-immediately

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options OptionName=OEM,Port=5500,VpcSecurityGroupMemberships="sg-test1,sg-test2" ^
    --apply-immediately

OPTIONGROUP  False  oracle-ee  19 arn:aws:rds:us-east-1:1234567890:og:testoptiongroup   Test Option Group  testoptiongroup vpc-test 
OPTIONS Oracle 12c EM Express   OEM     False   False   5500
VPCSECURITYGROUPMEMBERSHIPS     active  sg-test1
VPCSECURITYGROUPMEMBERSHIPS     active  sg-test2        

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options '[{"OptionSettings":[{"Name":"SQLNET.ENCRYPTION_SERVER","Value":"REQUIRED"},{"Name":"SQLNET.ENCRYPTION_TYPES_SERVER","Value":"AES256,AES192,DES"}],"OptionName":"NATIVE_NETWORK_ENCRYPTION"}]' \
    --apply-immediately

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options "OptionSettings"=[{"Name"="SQLNET.ENCRYPTION_SERVER","Value"="REQUIRED"},{"Name"="SQLNET.ENCRYPTION_TYPES_SERVER","Value"="AES256\,AES192\,DES"}],"OptionName"="NATIVE_NETWORK_ENCRYPTION" ^
    --apply-immediately

...{
    "OptionName": "NATIVE_NETWORK_ENCRYPTION",
    "OptionDescription": "Native Network Encryption",
    "Persistent": false,
    "Permanent": false,
    "OptionSettings": [
        {
            "Name": "SQLNET.ENCRYPTION_TYPES_SERVER",
             "Value": "AES256,AES192,DES",
            "DefaultValue": "RC4_256,AES256,AES192,3DES168,RC4_128,AES128,3DES112,RC4_56,DES,RC4_40,DES40",
            "Description": "Specifies list of encryption algorithms in order of intended use",
            "ApplyType": "STATIC",
            "DataType": "STRING",
            "AllowedValues": "RC4_256,AES256,AES192,3DES168,RC4_128,AES128,3DES112,RC4_56,DES,RC4_40,DES40",
            "IsModifiable": true,
            "IsCollection": true
        },
        {
            "Name": "SQLNET.ENCRYPTION_SERVER",
            "Value": "REQUIRED",
            "DefaultValue": "REQUESTED",
            "Description": "Specifies the desired encryption behavior",
            "ApplyType": "STATIC",
            "DataType": "STRING",
            "AllowedValues": "ACCEPTED,REJECTED,REQUESTED,REQUIRED",
            "IsModifiable": true,
            "IsCollection": false
        },...

Generazione di un elenco delle opzioni e delle impostazioni delle opzioni per un gruppo di opzioni

Puoi elencare tutte le opzioni e le impostazioni delle opzioni per un gruppo di opzioni.

aws rds describe-option-groups

aws rds describe-option-groups --option-group-name testoptiongroup

Modifica di un'impostazione di un'opzione

Dopo aver aggiunto un'opzione che include impostazioni modificabili, puoi modificare le impostazioni in qualsiasi momento. Se modifichi opzioni o impostazioni di opzioni in un gruppo di opzioni, le modifiche vengono applicate a tutte le istanze database associate al gruppo di opzioni. Per ulteriori informazioni sulle impostazioni disponibili per le diverse opzioni, consulta la documentazione per il motore in uso in Uso di gruppi di opzioni.

Le modifiche del gruppo di opzioni devono essere applicate immediatamente in due casi:

In questi casi, scegli l'opzione Apply immediately (Applica immediatamente) nella console. Altrimenti puoi includere l'opzione --apply-immediately quando usi la AWS CLI o impostare il parametro ApplyImmediately su true quando usi l'API di RDS. Le opzioni che non includono valori di porta possono essere applicate immediatamente oppure durante la finestra di manutenzione successiva per l’istanza database.

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options OptionName=OEM,Port=5432,DBSecurityGroupMemberships=default \
    --apply-immediately  

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options OptionName=OEM,Port=5432,DBSecurityGroupMemberships=default ^
    --apply-immediately               

OPTIONGROUP   False  oracle-ee  19  arn:aws:rds:us-east-1:1234567890:og:testoptiongroup   Test Option Group    testoptiongroup
OPTIONS Oracle 12c EM Express   OEM     False   False   5432
DBSECURITYGROUPMEMBERSHIPS   default  authorized               

aws rds add-option-to-option-group \
    --option-group-name testoptiongroup \
    --options '[{"OptionSettings":[{"Name":"SQLNET.ENCRYPTION_SERVER","Value":"REQUIRED"},{"Name":"SQLNET.ENCRYPTION_TYPES_SERVER","Value":"AES256,AES192,DES,RC4_256"}],"OptionName":"NATIVE_NETWORK_ENCRYPTION"}]' \
    --apply-immediately                                

aws rds add-option-to-option-group ^
    --option-group-name testoptiongroup ^
    --options "OptionSettings"=[{"Name"="SQLNET.ENCRYPTION_SERVER","Value"="REQUIRED"},{"Name"="SQLNET.ENCRYPTION_TYPES_SERVER","Value"="AES256\,AES192\,DES\,RC4_256"}],"OptionName"="NATIVE_NETWORK_ENCRYPTION" ^
    --apply-immediately                

OPTIONGROUP   False  oracle-ee  19  arn:aws:rds:us-east-1:1234567890:og:testoptiongroup   Test Option Group    testoptiongroup                
OPTIONS Oracle Advanced Security - Native Network Encryption    NATIVE_NETWORK_ENCRYPTION       False   False
OPTIONSETTINGS  RC4_256,AES256,AES192,3DES168,RC4_128,AES128,3DES112,RC4_56,DES,RC4_40,DES40 STATIC  STRING  
   RC4_256,AES256,AES192,3DES168,RC4_128,AES128,3DES112,RC4_56,DES,RC4_40,DES40    Specifies list of encryption algorithms in order of intended use        
   True     True    SQLNET.ENCRYPTION_TYPES_SERVER  AES256,AES192,DES,RC4_256
OPTIONSETTINGS  ACCEPTED,REJECTED,REQUESTED,REQUIRED    STATIC  STRING  REQUESTED   Specifies the desired encryption behavior  False   True  SQLNET.ENCRYPTION_SERVER    REQUIRED
OPTIONSETTINGS  SHA1,MD5   STATIC  STRING  SHA1,MD5    Specifies list of checksumming algorithms in order of intended use      True    True    SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER  SHA1,MD5
OPTIONSETTINGS  ACCEPTED,REJECTED,REQUESTED,REQUIRED  STATIC  STRING  REQUESTED     Specifies the desired data integrity behavior   False   True    SQLNET.CRYPTO_CHECKSUM_SERVER  REQUESTED               

Rimozione di un'opzione da un gruppo di opzioni

Non tutte le opzioni possono essere rimosse da un gruppo di opzioni. Un'opzione persistente non può essere rimossa da un gruppo di opzioni finché non annulli l'associazione di tutte le istanze database associate al gruppo di opzioni. Un'opzione permanente non può essere mai rimossa da un gruppo di opzioni. Per ulteriori informazioni su quali opzioni sono rimovibili, consulta la documentazione per il motore specifico, elencato in Uso di gruppi di opzioni.

Se rimuovi tutte le opzioni da un gruppo di opzioni, Amazon RDS non elimina il gruppo di opzioni. Le istanze database associate al gruppo di opzioni vuoto continuano a essere associate ad esso, ma semplicemente non hanno alcuna opzione attiva. In alternativa, per rimuovere tutte le opzioni da un'istanza database, puoi associare l'istanza database al gruppo di opzioni (vuoto) predefinito.

  
aws rds remove-option-from-option-group \
    --option-group-name testoptiongroup \
    --options OEM \
    --apply-immediately                    
                    

aws rds remove-option-from-option-group ^
    --option-group-name testoptiongroup ^
    --options OEM ^
    --apply-immediately
                    

OPTIONGROUP    testoptiongroup oracle-ee   19    Test option group

Eliminazione di un gruppo di opzioni

Puoi eliminare un gruppo di opzioni solo se soddisfa i seguenti criteri:

Per identificare i gruppi di opzioni utilizzati dalle istanze database e dagli snapshot di database in uso, puoi utilizzare i seguenti comandi dell’interfaccia CLI:

aws rds describe-db-instances \
    --query 'DBInstances[*].[DBInstanceIdentifier,OptionGroupMemberships[].OptionGroupName]'

aws rds describe-db-snapshots | jq -r '.DBSnapshots[] | "\(.DBInstanceIdentifier),\(.OptionGroupName)"' | sort | uniq

Se provi a eliminare un gruppo di opzioni associato a una risorsa RDS, viene restituito un errore simile al seguente.

An error occurred (InvalidOptionGroupStateFault) when calling the DeleteOptionGroup operation: The option group 'optionGroupName' cannot be deleted because it is in use.            
        

Se al gruppo di opzioni è associata un'istanza database, modificare l'istanza database affinché utilizzi un gruppo di opzioni diverso. Per ulteriori informazioni, consulta Modifica di un'istanza database Amazon RDS.

Se al gruppo di opzioni è associato uno snapshot di database manuale, modifica lo snapshot DB per utilizzare un gruppo di opzioni diverso. Puoi farlo usando il comando AWS CLI modify-db-snapshot.

       
aws rds delete-option-group \
    --option-group-name testoptiongroup                
                

aws rds delete-option-group ^
    --option-group-name testoptiongroup