Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione dell'ambiente per Amazon RDS Custom per SQL Server

Prima di creare e gestire un'istanza database per l'istanza database di Amazon RDS Custom per SQL Server, assicurarsi di eseguire le seguenti attività.

Prerequisiti per la configurazione di RDS Custom for SQL Server

Prima di creare un'istanza database di RDS Custom per SQL Server, assicurati che l'ambiente soddisfi i requisiti descritti in questo argomento. Puoi anche utilizzare il CloudFormation modello per configurare i prerequisiti all'interno del tuo. Account AWS Per ulteriori informazioni, consulta Configurazione con CloudFormation

RDS Custom per SQL Server richiede la configurazione dei seguenti prerequisiti:

Per i requisiti generali applicabili a RDS Custom per SQL Server, vedere Requisiti generali per RDS Custom per SQL Server.

Creazione automatizzata del profilo di istanza utilizzando Console di gestione AWS

RDS Custom richiede la creazione e la configurazione di un profilo dell’istanza per avviare qualsiasi istanza database RDS Custom per SQL Server. Utilizzate il Console di gestione AWS per creare e allegare un nuovo profilo di istanza in un unico passaggio. Questa opzione è disponibile nella sezione relativa alla sicurezza RDS Custom nelle pagine della console Crea database, Ripristina snapshot e Ripristina al point-in-time. Scegli Crea un nuovo profilo dell’istanza per specificare un suffisso per il nome del profilo dell’istanza. Console di gestione AWS crea un nuovo profilo di istanza con le autorizzazioni necessarie per le attività di automazione RDS Custom. Per creare automaticamente nuovi profili di istanza, l' Console di gestione AWS utente che ha effettuato l'accesso deve disporre diiam:CreateInstanceProfile,iam:AddRoleToInstanceProfile, iam:CreateRole e autorizzazioni. iam:AttachRolePolicy

Fase 1: concedere le autorizzazioni richieste al principale IAM

Assicurati di disporre di un accesso sufficiente per creare un’istanza database RDS Custom. Il ruolo IAM o utente IAM (indicato come principale IAM) per la creazione di un’istanza database RDS Custom per SQL Server tramite la console o la CLI deve disporre di una delle seguenti policy per creare istanze database:

La policy JSON di esempio seguente fornisce le autorizzazioni necessarie.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

Il principale IAM richiede le seguenti autorizzazioni aggiuntive per funzionare con le versioni personalizzate del motore (): CEVs

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "ConfigureKmsKeyEncryptionPermission",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo",
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/key_id"
        },
        {
            "Sid": "CreateEc2Instance",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:RunInstances",
                "ec2:CreateTags"
            ],
            "Resource": "*"
        }
    ]
}

Sostituiscilo 111122223333 con l'ID dell'account che stai utilizzando per creare l'istanza. Sostituiscilo us-east-1 con Regione AWS quello che stai utilizzando per creare l'istanza. Sostituisci key_id con il tuo ID chiave gestito dal cliente. Puoi aggiungere più chiavi, se necessario.

Per ulteriori informazioni sulle autorizzazioni a livello di risorsa necessarie per avviare un' EC2 istanza, consulta Launch instances (). RunInstances

Inoltre, il principale IAM richiede l'autorizzazione iam:PassRole sul ruolo IAM. Deve essere collegata al profilo dell'istanza passato nel parametro custom-iam-instance-profile nella richiesta di creazione dell'istanza database di RDS Custom. Il profilo dell'istanza e il suo ruolo collegato vengono creati in seguito in Fase 2: configurare la rete, il profilo dell’istanza e la crittografia.

Fase 2: configurare la rete, il profilo dell’istanza e la crittografia

Puoi configurare il ruolo del profilo dell'istanza IAM, il cloud privato virtuale (VPC) e la chiave di crittografia AWS KMS simmetrica utilizzando uno dei seguenti processi:

Configurazione con CloudFormation

Per semplificare la configurazione, puoi utilizzare un file CloudFormation modello per creare uno CloudFormation stack. Un CloudFormation modello crea tutte le reti, i profili di istanza e le risorse di crittografia in base ai requisiti di RDS Custom.

Per informazioni su come creare pile, consulta Creazione di uno stack sulla CloudFormation console nella Guida per l'utente.CloudFormation

Per un tutorial su come avviare Amazon RDS Custom for SQL Server utilizzando un CloudFormation modello, consulta Get started with Amazon RDS Custom for SQL Server using an CloudFormation template nel AWS Database Blog.

Parametri richiesti da CloudFormation

I seguenti parametri sono necessari per configurare le risorse dei prerequisiti RDS Custom con: CloudFormation

Scarica il file modello CloudFormation

Configurazione delle risorse tramite CloudFormation

CloudFormation crea le risorse richieste da RDS Custom for SQL Server. Se la creazione dello stack non va a buon fine, leggi la scheda Events (Eventi) per vedere quale creazione risorsa non è andata a buon fine e il motivo dello stato.

La scheda Output per questo CloudFormation stack nella console dovrebbe contenere informazioni su tutte le risorse da passare come parametri per la creazione di un'istanza DB RDS Custom for SQL Server. Assicurati di utilizzare il gruppo di sicurezza VPC e il gruppo di sottoreti DB creati da CloudFormation per le istanze DB personalizzate RDS. Per impostazione predefinita, RDS tenta di collegare il gruppo di sicurezza VPC predefinito, che potrebbe non disporre dell'accesso necessario.

Se in passato creavi CloudFormation risorse, puoi saltare. Configurazione manuale

Configurazione manuale

Se scegli di configurare le risorse manualmente, esegui le seguenti operazioni.

Assicurati di disporre di una chiave di crittografia simmetrica AWS KMS

È richiesta una crittografia simmetrica per RDS AWS KMS key Custom. Quando crei un’istanza database RDS Custom per SQL Server, assicurati di specificare l’identificatore di chiave KMS come parametro kms-key-id. Per ulteriori informazioni, consulta Creazione e connessione a un'istanza database per Amazon RDS Custom per SQL Server.

Sono disponibili le seguenti opzioni:

Assicurati che la tua chiave di crittografia simmetrica conceda l'accesso al ruolo kms:Decrypt and kms:GenerateDataKey operations to the AWS Identity and Access Management (IAM) nel profilo dell'istanza IAM. Se hai una nuova chiave di crittografia simmetrica nel tuo account, non sono necessarie modifiche. Altrimenti, assicurati che la policy della chiave di crittografia simmetrica fornisca l'accesso a queste operazioni.

Per ulteriori informazioni, consulta Fase 4: configurazione di IAM per RDS Custom per Oracle.

Creazione manuale del ruolo IAM e del profilo dell'istanza

È possibile creare manualmente un profilo dell’istanza e utilizzarlo per avviare istanze RDS Custom. Se intendi creare l'istanza in Console di gestione AWS, salta questa sezione. Console di gestione AWS Consente di creare e allegare un profilo di istanza alle istanze DB personalizzate RDS. Per ulteriori informazioni, consulta Creazione automatizzata del profilo di istanza utilizzando Console di gestione AWS.

Quando crei manualmente un profilo dell’istanza, passa il nome del profilo dell’istanza come parametro custom-iam-instance-profile al comando create-db-instance della CLI. RDS Custom utilizza il ruolo associato a questo profilo dell’istanza per eseguire l’automazione e gestire l’istanza.

Crea il ruolo AWSRDSCustom SQLServer InstanceRole IAM

L'esempio seguente crea il ruolo AWSRDSCustomSQLServerInstanceRole. La politica di fiducia consente ad Amazon di EC2 assumere il ruolo.

aws iam create-role \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --assume-role-policy-document '{
        "Version": "2012-10-17",		 	 	 
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": "ec2.amazonaws.com"
              }
            }
          ]
        }'

Aggiungi una politica di accesso a AWSRDSCustom SQLServer InstanceRole

Per fornire le autorizzazioni richieste, allega la politica AWS gestita AmazonRDSCustomInstanceProfileRolePolicy aAWSRDSCustomSQLServerInstanceRole. AmazonRDSCustomInstanceProfileRolePolicyconsente alle istanze RDS Custom di inviare e ricevere messaggi ed eseguire varie azioni di automazione.

L'esempio seguente AWS allega una policy gestita AmazonRDSCustomInstanceProfileRolePolicy al AWSRDSCustomSQLServerInstanceRole ruolo.

aws iam attach-role-policy \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonRDSCustomInstanceProfileRolePolicy

Creare un profilo dell'istanza RDS Custom for SQL server

Un profilo dell'istanza è un container che include un ruolo IAM singolo. RDS Custom utilizza il profilo dell'istanza per trasferire il ruolo all'istanza.

Se utilizzi il per Console di gestione AWS creare un ruolo per Amazon EC2, la console crea automaticamente un profilo di istanza e gli assegna lo stesso nome del ruolo al momento della creazione del ruolo. Creare il profilo dell'istanza IAM come segue, denominandolo AWSRDSCustomSQLServerInstanceProfile.

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile

Aggiungilo AWSRDSCustom SQLServer InstanceRole al tuo profilo di istanza RDS Custom for SQL Server

Aggiungi il ruolo AWSRDSCustomInstanceRoleForRdsCustomInstance al profilo AWSRDSCustomSQLServerInstanceProfile creato in precedenza.

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile \
    --role-name AWSRDSCustomSQLServerInstanceRole

Configurazione manuale del VPC

La tua istanza DB personalizzata RDS si trova in un cloud privato virtuale (VPC) basato sul servizio Amazon VPC, proprio come un'istanza Amazon o un' EC2 istanza Amazon RDS. Fornisci e configuri il VPC personalizzato. Pertanto, hai il pieno controllo sulla configurazione della rete delle istanze.

RDS Custom invia la comunicazione dall'istanza database ad altri Servizi AWS. Assicurati che i seguenti servizi siano accessibili dalla sottorete in cui crei le istanze database RDS Custom:

Per la creazione di implementazioni Multi-AZ

Se RDS Custom non è in grado di comunicare con i servizi necessari, pubblica i seguenti eventi:

Database instance in incompatible-network. SSM Agent connection not available. Amazon RDS can't connect to the dependent AWS services.

Database instance in incompatible-network. Amazon RDS can't connect to dependent AWS services. Make sure port 443 (HTTPS) allows outbound connections, and try again. "Failed to connect to the following services: s3 events"

Per evitare incompatible-network errori, assicurati che i componenti VPC coinvolti nella comunicazione tra l'istanza DB personalizzata di RDS Servizi AWS soddisfino i seguenti requisiti:

Se hai già configurato un VPC per un motore di database RDS Custom diverso, puoi riutilizzare tale VPC e ignorare questo processo.

Configura il tuo gruppo di sicurezza VPC

Un gruppo di sicurezza funge da firewall virtuale per un'istanza VPC, controllando il traffico in entrata e quello in uscita. All’interfaccia di rete di un’istanza database RDS Custom è collegato un gruppo di sicurezza predefinito che protegge l’istanza. Assicurati che il gruppo di sicurezza consenta il traffico tra RDS Custom e altri Servizi AWS tramite HTTPS. Questo gruppo di sicurezza deve essere passato come parametro vpc-security-group-ids nella richiesta di creazione dell’istanza.

Per ulteriori informazioni sui gruppi di sicurezza, consulta Gruppi di sicurezza per il VPC nella Guida per gli sviluppatori Amazon VPC.

Configura gli endpoint per i dipendenti Servizi AWS

È consigliato aggiungere endpoint per ogni servizio VPC utilizzando le seguenti istruzioni. Tuttavia, puoi utilizzare qualsiasi soluzione che consenta al tuo VPC di comunicare con gli endpoint del AWS servizio. Ad esempio, è possibile utilizzare Network Address Translation (NAT) o AWS Direct Connect.

Nella tabella seguente viene illustrato come trovare l'elenco degli endpoint di cui il VPC ha bisogno per le comunicazioni in uscita.

Configurazione del servizio di metadati dell'istanza

Verificare che l'istanza possa fare:

Per ulteriori informazioni, consulta Use IMDSv2 in the Amazon EC2 User Guide.

Restrizioni tra istanze

Quando crei un profilo di istanza seguendo i passaggi precedenti, utilizza la policy AWS gestita AmazonRDSCustomInstanceProfileRolePolicy per fornire le autorizzazioni richieste a RDS Custom, che consente la gestione e l'automazione del monitoraggio delle istanze. La policy gestita assicura che le autorizzazioni consentano l’accesso solo alle risorse necessarie a RDS Custom per eseguire l’automazione. È consigliabile utilizzare la policy gestita per supportare nuove funzionalità e soddisfare i requisiti di sicurezza che vengono applicati automaticamente ai profili di istanza esistenti senza intervento manuale. Per ulteriori informazioni, consulta la policy AWS gestita: Amazon RDSCusto m InstanceProfileRolePolicy.

La policy gestita AmazonRDSCustomInstanceProfileRolePolicy limita il profilo dell’istanza all’accesso multi-account, ma potrebbe consentire l’accesso ad alcune risorse gestite di RDS Custom in più istanze RDS Custom all’interno dello stesso account. Se necessario, puoi utilizzare i limiti delle autorizzazioni per limitare ulteriormente l’accesso tra istanze. I limiti delle autorizzazioni definiscono le autorizzazioni massime che le policy basate sull’identità possono concedere a un’entità, ma non concedono autorizzazioni. Per ulteriori informazioni, consulta Valutazione delle autorizzazioni valide con i limiti.

Ad esempio, la seguente politica di confine limita il ruolo del profilo dell'istanza all'accesso a una AWS KMS chiave specifica e limita l'accesso alle risorse gestite da RDS Custom tra istanze che utilizzano chiavi diverse. AWS KMS

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "DenyOtherKmsKeyAccess",
            "Effect": "Deny",
            "Action": "kms:*",
            "NotResource": "arn:aws:kms:us-east-1:111122223333:key/KMS_key_ID"
        }
    ]
}