本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定您的 Amazon RDS Custom for SQL Server 的環境

建立和管理 Amazon RDS Custom for SQL Server 資料庫執行個體的資料庫執行個體之前，請務必執行下列任務。

設定 RDS Custom for SQL Server 的先決條件

建立 RDS Custom to SQL Server 資料庫執行個體之前，請確定您的環境符合本主題中所述的需求。您也可以使用 CloudFormation 範本在 中設定先決條件 AWS 帳戶。如需詳細資訊，請參閱使用 設定 AWS CloudFormation

RDS Custom for SQL Server 需要您設定下列先決條件：

如需適用於 RDS Custom for SQL Server 的一般需求，請參閱 RDS Custom for SQL Server 的一般需求。

使用 自動建立執行個體描述檔 AWS Management Console

RDS Custom 需要您建立和設定執行個體描述檔，以啟動任何 RDS Custom for SQL Server 資料庫執行個體。使用 AWS Management Console 在單一步驟中建立和連接新的執行個體描述檔。此選項可在建立資料庫、還原快照和還原至時間點主控台頁面的 RDS Custom 安全區段下使用。選擇建立新的執行個體描述檔，以提供執行個體描述檔名稱尾碼。 AWS Management Console 會建立新的執行個體描述檔，其具有 RDS Custom 自動化任務所需的許可。若要自動建立新的執行個體設定檔，您的登入 AWS Management Console 使用者必須具有 iam:CreateInstanceProfile、iam:CreateRole、 iam:AddRoleToInstanceProfile和 iam:AttachRolePolicy許可。

步驟 1：將必要的許可授予您的 IAM 主體

請確定您有足夠的存取權來建立 RDS Custom 執行個體。使用主控台或 CLI 建立 RDS Custom for SQL Server 資料庫執行個體的 IAM 角色或 IAM 使用者 （稱為 IAM 主體) 必須具有下列任一政策，才能成功建立資料庫執行個體：

以下範例 JSON 政策授予必要許可。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

IAM 主體需要下列額外許可才能使用自訂引擎版本 (CEVs)：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ConfigureKmsKeyEncryptionPermission",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:ReEncryptFrom",
                "kms:ReEncryptTo",
                "kms:GenerateDataKeyWithoutPlaintext",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:region:account_id:key/key_id"
        },
        {
            "Sid": "CreateEc2Instance",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages",
                "ec2:RunInstances",
                "ec2:CreateTags"
            ],
            "Resource": "*"
        }
    ]
}

將 account_id 取代為您用來建立執行個體的帳戶 ID。將區域取代 AWS 區域 為您用來建立執行個體的 。將 key_id 取代為您的客戶受管金鑰 ID。您可以視需要新增多個金鑰。

如需啟動 EC2 執行個體所需的資源層級許可的詳細資訊，請參閱啟動執行個體 (RunInstances)。

此外，IAM 主體在 IAM 角色上需要 iam:PassRole 許可。這必須連接到在請求中以 custom-iam-instance-profile 參數傳遞的執行個體，才能建立 RDS Custom 資料庫執行個體。稍後會在 步驟 2：設定聯網、執行個體描述檔和加密 中建立執行個體設定檔及其連接的角色。

步驟 2：設定聯網、執行個體描述檔和加密

您可以使用下列任一程序來設定 IAM 執行個體描述檔角色、虛擬私有雲端 (VPC) AWS KMS 和對稱加密金鑰：

使用 設定 AWS CloudFormation

若要簡化設定，您可以使用 AWS CloudFormation 範本檔案來建立 CloudFormation 堆疊。CloudFormation 範本會根據 RDS Custom 的要求建立所有聯網、執行個體描述檔和加密資源。

若要了解如何建立堆疊，請參閱AWS CloudFormation 《 使用者指南》中的在 AWS CloudFormation 主控台上建立堆疊。

如需如何使用 AWS CloudFormation 範本啟動 Amazon RDS Custom for SQL Server 的教學課程，請參閱 資料庫部落格中的使用 AWS CloudFormation 範本開始使用 Amazon RDS Custom for SQL Server。 AWS

CloudFormation 所需的參數

使用 CloudFormation 設定 RDS Custom 先決條件資源需要下列參數：

下載 AWS CloudFormation 範本檔案

使用 CloudFormation 設定資源

CloudFormation 會建立 RDS Custom for SQL Server 需要的資源。如果堆疊建立失敗，請詳讀 Events 索引標籤，查看哪些資源建立失敗及其狀態原因。

主控台中此 CloudFormation 堆疊的 Outputs (輸出) 索引標籤應有要作為用於建立 RDS Custom for SQL Server 資料庫執行個體的參數傳遞的所有資源相關資訊。務必使用由 CloudFormation for RDS Custom 資料庫執行個體建立的 VPC 安全群組與資料庫子網路群組。依預設，RDS 會嘗試連接預設的 VPC 安全群組，此群組可能沒有您需要的存取權。

如果您使用 CloudFormation 建立資源，則可以略過 手動設定。

手動設定

如果您選擇手動設定資源，請執行以下任務。

請確定您有對稱加密 AWS KMS 金鑰

RDS Custom AWS KMS key 需要對稱加密。當您建立 RDS Custom for SQL Server 資料庫執行個體時，請務必提供 KMS 金鑰識別符做為參數 kms-key-id。如需詳細資訊，請參閱建立並連線至 Amazon RDS Custom for SQL Server 的資料庫執行個體。

您有下列選項：

請確定您的對稱加密金鑰將 kms:Decrypt和 kms:GenerateDataKey操作的存取權授予 IAM 執行個體描述檔中的 AWS Identity and Access Management (IAM) 角色。若您的帳戶中有新的對稱加密金鑰，則不需要變更。否則，請確定對稱加密金鑰政策授予這些操作的存取權。

如需詳細資訊，請參閱步驟 4：設定 RDS Custom for Oracle 的 IAM。

手動建立 IAM 角色和執行個體設定檔

您可以手動建立執行個體描述檔，並使用它來啟動 RDS Custom 執行個體。如果您打算在 中建立執行個體 AWS Management Console，請略過本節。 AWS Management Console 可讓您建立執行個體描述檔，並將其連接至 RDS Custom 資料庫執行個體。如需詳細資訊，請參閱使用 自動建立執行個體描述檔 AWS Management Console。

當您手動建立執行個體描述檔時，請將執行個體描述檔名稱做為 custom-iam-instance-profile 參數傳遞至 CLI create-db-instance 命令。RDS Custom 會使用與此執行個體描述檔相關聯的 角色來執行自動化來管理執行個體。

建立 AWSRDSCustomSQLServerInstanceRole IAM 角色

下列範例會建立 AWSRDSCustomSQLServerInstanceRole 角色。信任政策可讓 Amazon EC2 擔任角色。

aws iam create-role \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --assume-role-policy-document '{
        "Version": "2012-10-17",
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": "ec2.amazonaws.com"
              }
            }
          ]
        }'

將存取政策新增至 AWSRDSCustomSQLServerInstanceRole

若要提供必要的許可，請將 AWS 受管政策連接至 AmazonRDSCustomInstanceProfileRolePolicy AWSRDSCustomSQLServerInstanceRole。 AmazonRDSCustomInstanceProfileRolePolicy 允許 RDS Custom 執行個體傳送和接收訊息，並執行各種自動化動作。

下列範例會將 AWS 受管政策連接至AWSRDSCustomSQLServerIamRolePolicyAWSRDSCustomSQLServerInstanceRole角色。

aws iam attach-role-policy \
    --role-name AWSRDSCustomSQLServerInstanceRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonRDSCustomInstanceProfileRolePolicy

建立您的 RDS Custom for SQL Server 執行個體設定檔

執行個體設定檔是包含單一 IAM 角色的容器。RDS Custom 會使用執行個體設定檔，將角色傳遞到執行個體。

如果您使用 AWS Management Console 為 Amazon EC2 建立角色，主控台會自動建立執行個體描述檔，並在建立角色時為其提供與角色相同的名稱。如下所示建立您的執行個體設定檔，將它命名為 AWSRDSCustomSQLServerInstanceProfile。

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile

將 AWSRDSCustomSQLServerInstanceRole 新增至您的 RDS Custom for SQL Server 執行個體設定檔

將AWSRDSCustomInstanceRoleForRdsCustomInstance角色新增至先前建立的AWSRDSCustomSQLServerInstanceProfile設定檔。

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomSQLServerInstanceProfile \
    --role-name AWSRDSCustomSQLServerInstanceRole

手動設定您的 VPC

根據 Amazon VPC 服務，您的 RDS Custom 資料庫執行個體位於虛擬私有雲端 (VPC)，就像是 Amazon EC2 執行個體或 Amazon RDS 執行個體。您可以提供和設定您自己的 VPC。因此，您可以完全控制您的執行個體網絡設定。

RDS Custom 會將通訊從您的資料庫執行個體傳送到其他 AWS 服務。請確定下列服務可從您建立 RDS Custom 資料庫執行個體的子網路存取：

如果建立異地同步備份部署

如果 RDS Custom 無法與必要的服務通訊，它會發佈下列事件：

Database instance in incompatible-network. SSM Agent connection not available. Amazon RDS can't connect to the dependent AWS services.

Database instance in incompatible-network. Amazon RDS can't connect to dependent AWS services. Make sure port 443 (HTTPS) allows outbound connections, and try again. "Failed to connect to the following services: s3 events"

若要避免incompatible-network錯誤，請確定涉及 RDS Custom 資料庫執行個體之間通訊的 VPC 元件，並 AWS 服務 滿足下列要求：

若您已經為不同的 RDS Custom 資料庫引擎設定 VPC，您可重複使用該 VPC 並略過此程序。

設定您的 VPC 安全群組

安全群組會做為 VPC 執行個體的虛擬防火牆，控制傳入及傳出流量。RDS Custom 資料庫執行個體具有連接到其網路界面的安全群組，以保護執行個體。請確定您的安全群組允許 RDS Custom 與其他 之間 AWS 服務 透過 HTTPS 的流量。您可以在執行個體建立請求中將此安全群組做為 vpc-security-group-ids 參數傳遞。

如需安全群組的詳細資訊，請參閱《Amazon VPC 開發人員指南》中的您的 VPC 的安全群組。

設定相依的端點 AWS 服務

建議您使用下列指示將每個服務的端點新增至 VPC。不過，您可以使用任何解決方案，讓您的 VPC 與服務 AWS 端點通訊。例如，您可以使用網路位址轉譯 (NAT) 或 AWS Direct Connect。

下表說明如何尋找您的 VPC 傳出通訊所需的端點清單。

設定個體中繼資料服務

請確定您的執行個體可以執行下列操作：

如需詳細資訊，請參閱《Amazon ECIMDSv22。 Amazon EC2

跨執行個體限制

當您依照上述步驟建立執行個體描述檔時，它會使用 AWS 受管政策AmazonRDSCustomInstanceProfileRolePolicy向 RDS Custom 提供必要的許可，以允許執行個體管理和監控自動化。受管政策可確保許可僅允許存取 RDS Custom 執行自動化所需的資源。我們建議您使用 受管政策來支援新功能並解決安全需求，這些要求會自動套用至現有的執行個體描述檔，無需手動介入。如需詳細資訊，請參閱 AWS 受管政策：AmazonRDSCustomInstanceProfileRolePolicyInstanceProfileRolePolicy。

AmazonRDSCustomInstanceProfileRolePolicy 受管政策會限制執行個體描述檔具有跨帳戶存取權，但可能允許存取相同帳戶中跨 RDS Custom 執行個體的一些 RDS Custom 受管資源。根據您的需求，您可以使用許可界限來進一步限制跨執行個體存取。許可界限定義身分型政策可授予實體的最大許可，但不會自行授予許可。如需詳細資訊，請參閱使用邊界評估有效許可。

例如，以下邊界政策限制執行個體描述檔角色存取特定 AWS KMS 金鑰，並限制跨使用不同 AWS KMS 金鑰的執行個體存取 RDS Custom 受管資源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOtherKmsKeyAccess",
            "Effect": "Deny",
            "Action": "kms:*",
            "NotResource": "arn:aws:kms:region:acct_id:key/KMS_key_ID"
        },
        {
            "Sid": "NoBoundarySetByDefault",
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}