本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 使用 Amazon RDS Proxy 端點 RDS Proxy 端點提供彈性且有效率的方式來管理資料庫連線，進而改善可擴展性、可用性和安全性。使用代理端點，您可以： + **簡化監控和疑難排解** – 使用多個端點來獨立追蹤和管理不同應用程式的連線。 **Topics** + [代理端點概觀](#rds-proxy-endpoints-overview) + [代理端點的限制](#rds-proxy-endpoints-limits) + [多可用區域資料庫叢集的代理端點](#rds-proxy-endpoints-overview-maz) + [跨 VPC 存取 RDS 資料庫](#rds-proxy-cross-vpc) + [建立代理端點](rds-proxy-endpoints.CreatingEndpoint.md) + [檢視代理端點](rds-proxy-endpoints.DescribingEndpoint.md) + [修改代理端點](rds-proxy-endpoints.ModifyingEndpoint.md) + [刪除代理端點](rds-proxy-endpoints.DeletingEndpoint.md) ## 代理端點概觀 使用 RDS Proxy 端點涉及與 RDS 執行個體端點相同的程序類型。如果您不熟悉 RDS 端點，請在[連線至執行 MySQL 資料庫引擎的資料庫執行個體](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_ConnectToInstance.html)和[連線至執行 PostgreSQL 資料庫引擎的資料庫執行個體](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_ConnectToPostgreSQLInstance.html)中查閱詳細資訊。 當您建立代理端點時，您可以將其與和代理的 VPC 不同的虛擬私有雲端 (VPC) 建立關聯。這可讓您從另一個 VPC 連線至代理，例如組織內不同應用程式所使用的 VPC。 如需與代理端點關聯的限制相關資訊，請參閱[代理端點的限制](#rds-proxy-endpoints-limits)。 RDS Proxy 日誌中會在每個項目加上相關聯代理端點的名稱作為字首。此名稱可以是您針對使用者定義端點所指定的名稱，也可以是代理的預設讀取/寫入端點的特殊名稱 `default`。 每個代理端點都有自己的 CloudWatch 指標集。監控所有代理端點、特定端點或代理的所有讀取/寫入或唯讀端點的指標。如需詳細資訊，請參閱[使用 Amazon CloudWatch 監控 RDS Proxy 指標使用 CloudWatch 監控 RDS Proxy](rds-proxy.monitoring.md)。 代理端點會使用與相關聯代理相同的身分驗證機制。RDS Proxy 會自動設定使用者定義端點的許可和授權，且與相關聯代理的屬性一致。 ## 代理端點的限制 RDS Proxy 端點有下列限制： + 無法修改 RDS Proxy 預設端點。 + 代理的使用者定義端點數目上限為 20。因此，代理最多可以有 21 個端點：預設端點，以及您建立的 20 個端點。 + 當您將其他端點與代理建立關聯時，RDS Proxy 會自動確定叢集中要用於每個端點的資料庫執行個體。 + 對於 IPv6 或雙堆疊端點網路類型，您的 VPC 和子網路必須設定為支援選取的網路類型。 當您建立代理時，RDS 會自動建立 VPC 端點，以在應用程式和資料庫之間進行安全通訊。VPC 端點是可見的，可以從 Amazon VPC 主控台存取。 新增代理端點會佈建 AWS PrivateLink 界面端點。如果您將一或多個端點新增至代理，會產生額外費用。如需詳細資訊，請參閱 [RDS Proxy 定價](https://aws.amazon.com/rds/proxy/pricing/)。 ## 多可用區域資料庫叢集的代理端點 依預設，您將 RDS Proxy 與多可用區域資料庫叢集搭配使用時連線的端點具有讀取/寫入功能。因此，此端點會將所有請求傳送至叢集的寫入器執行個體。所有這些連線都會計入寫入器執行個體的 `max_connections` 值。如果您的 Proxy 與多可用區域資料庫叢集相關聯，您可以為該 Proxy 建立額外的讀取/寫入或唯讀端點。 您可以將唯讀端點與您的代理搭配使用，進行唯讀查詢。執行此操作的方式與您將讀取器端點用於多可用區域資料庫叢集的方式相同。這樣做有助於您利用多可用區域資料庫叢集的讀取可擴展性，而此叢集具有一個或多個讀取器資料庫執行個體。您可以使用唯讀端點，並視需將更多讀取器資料庫執行個體新增至多可用區域資料庫叢集，來執行更多同時查詢並建立更多同時連線。這些讀取器端點有助於改善查詢密集型應用程式的讀取可擴展性。如果叢集中的讀取器資料庫執行個體變得無法使用，讀取器端點也有助於改善連線的可用性。 ### 多可用區域資料庫叢集的讀取器端點 使用 RDS Proxy，您可以建立和使用讀取器端點。不過，這些端點僅適用於與多可用區域資料庫叢集相關聯的 Proxy。如果您使用 RDS CLI 或 API，您可能會看到具有值 `TargetRole` 的 `READ_ONLY` 屬性。您可以將代理的目標從 RDS 資料庫執行個體變更為多可用區域資料庫叢集，來利用此類代理。 當您將 RDS Proxy 與多可用區域資料庫叢集搭配使用時，您可以建立並連線至稱為*讀取器端點*的唯讀端點。 #### 讀取器端點如何協助應用程式變得可用 在某些情況下，叢集中的讀取器執行個體可能無法使用。如果發生此情況，使用資料庫 Proxy 讀取器端點的連線可以比使用多可用區域資料庫叢集讀取器端點的連線更快復原。RDS Proxy 只會將連線路由傳送至叢集中可用的讀取器執行個體。當執行個體變得無法使用時，DNS 快取不會有延遲。 如果連線為多路復用，RDS Proxy 會將後續查詢導向至不同的讀取器執行個體，而不會中斷您的應用程式。如果讀取器執行個體處於無法使用狀態，則會關閉該執行個體端點的所有用戶端連線。 如果連線鎖定，則連線的下一個查詢會傳回錯誤。不過，您的應用程式可以立即重新連線至相同代理端點。RDS Proxy 會將連線路由至不同但為 `available` 狀態的讀取器資料庫執行個體。手動重新連線時，RDS Proxy 不會檢查新舊讀取器執行個體之間的複寫延遲。 如果多可用區域資料庫叢集沒有任何可用的讀取器執行個體，RDS Proxy 會在其可用時嘗試連線至讀取器端點。如果連線借用逾時期間內沒有讀取器執行個體變得可用，則連線嘗試會失敗。如果讀取器執行個體變得可用，則連線嘗試會成功。 #### 讀取器端點如何協助實現查詢可擴展性 Proxy 的讀取器端點透過以下方式協助實現多可用區域資料庫叢集查詢可擴展性： + 在實際情況下，RDS Proxy 針對使用特定讀取器端點連線的所有查詢問題，使用相同的讀取器資料庫執行個體。如此一來，相同資料表上的一組相關查詢可以利用特定資料庫執行個體上的快取、計劃最佳化等。 + 如果讀取器資料庫執行個體變得無法使用，則對應用程式的影響取決於工作階段是多路復用還是鎖定。如果工作階段是多路復用，RDS Proxy 會將任何後續查詢路由至不同的讀取器資料庫執行個體，而無需執行任何動作。如果工作階段已鎖定，您的應用程式會收到錯誤，並且必須重新連線。您可以立即重新連線至讀取器端點，並且 RDS Proxy 會將連線路由至可用的讀取器資料庫執行個體。如需代理工作階段的多工處理和鎖定的詳細資訊，請參閱[RDS Proxy 概念概觀](rds-proxy.howitworks.md#rds-proxy-overview)。 ## 跨 VPC 存取 RDS 資料庫 依預設，Aurora 技術堆疊的元件全都在同一個 Amazon VPC 中。例如，假設在 Amazon EC2 執行個體上執行的應用程式連線至 Amazon RDS 資料庫執行個體。在此情況下，應用程式伺服器和資料庫必須都位於同一個 VPC 內。 使用 RDS Proxy，您可以從另一個 VPC 的資源 (例如 EC2 執行個體)，設定對一個 VPC 中 Amazon RDS 資料庫執行個體的存取。例如，您的組織可能有多個存取相同資料庫資源的應用程式。每個應用程式都可能在其自己的 VPC 中。 若要啟用跨 VPC 存取，您可以為代理建立新的端點。Proxy 本身駐留在與 Amazon RDS 資料庫執行個體相同的 VPC 中。然而，跨 VPC 端點駐留在其他 VPC 中，以及 EC2 執行個體等其他資源。跨 VPC 端點與 EC2 和其他資源相同的 VPC 子網路和安全群組關聯。這些關聯可讓您從因 VPC 限制而無法存取資料庫的應用程式連線至端點。 下列步驟說明如何透過 RDS Proxy 來建立和存取跨 VPC 端點： 1. 建立兩個 VPC，或選擇兩個已用於 和 RDS 工作的 VPC。每個 VPC 都應有其自己的關聯網路資源，例如，網際網路閘道、路由表、子網路和安全群組。如果您只有一個 VPC，可以參閱[Amazon RDS 入門](CHAP_GettingStarted.md)，了解設定另一個 VPC 以成功使用 RDS 的步驟。您還可以在 Amazon EC2 主控台中查看您現有的 VPC，了解要連線在一起的資源類型。 1. 建立與您要連線的 Amazon RDS 資料庫執行個體相關聯的資料庫 Proxy。請遵循 [為 Amazon RDS 建立代理](rds-proxy-creating.md) 中的程序。 1. 於 RDS 主控台代理的**詳細資訊**頁面上，在 **Proxy endpoints** (代理端點) 區段中，選擇 **Create endpoint** (建立端點)。請遵循 [建立代理端點](rds-proxy-endpoints.CreatingEndpoint.md) 中的程序。 1. 選擇要讓跨 VPC 端點讀取/寫入還是唯讀。 1. 不是接受與 Amazon RDS 資料庫執行個體相同 VPC 的預設值，而是選擇不同的 VPC。此 VPC 必須與代理所在的 VPC 位於相同的 AWS 區域。 1. 現在，不是接受與 Amazon RDS 資料庫執行個體相同 VPC 的子網路和安全群組預設值，而是選擇新的選項。根據您選擇的 VPC 中的子網路和安全群組進行這些設定。 1. 您不需要變更 Secrets Manager 機密的任何設定。相同的登入資料適用於代理的所有端點，無論每個端點所在的 VPC 為何。同樣地，使用 IAM 身分驗證時，即使端點位於不同的 VPCs 中，您的 IAM 組態和許可也會在所有代理端點中一致運作。每個端點不需要額外的 IAM 組態。 1. 等待新端點為**可用**狀態。 1. 記下完整的端點名稱。這是以 `Region_name.rds.amazonaws.com` 結尾的值，作為資料庫應用程式連線字串的一部分提供。 1. 從與端點相同的 VPC 中的資源存取新端點。測試此程序的簡單方法是，在此 VPC 中建立一個新的 EC2 執行個體。然後，使用連線字串中的端點值，登入 EC2 執行個體並執行 `mysql` 或 `psql` 命令來進行連線。 # 建立代理端點 若要建立代理端點，請按照以下指示： ## 主控台 **若要建立代理伺服器端點** 1. 登入 AWS 管理主控台 ，並在 [https://console.aws.amazon.com/rds/](https://console.aws.amazon.com/rds/)：// 開啟 Amazon RDS 主控台。 1. 在導覽窗格中，選擇 **Proxies** (代理)。 1. 按一下您要為其建立新端點的代理名稱。 該代理的詳細資訊頁面即會出現。 1. 在 **Proxy endpoints** (代理端點) 區段中，選擇 **Create proxy endpoint** (建立代理端點)。 **Create proxy endpoint** (建立代理端點) 視窗即會出現。 1. 對於 **Proxy endpoint name** (代理端點名稱)，輸入您選擇的描述性名稱。 1. 對於 **Target role** (目標角色) 下，選擇要讓端點讀取/寫入還是唯讀。 使用讀取/寫入端點的連線可以執行任何類型的操作，例如資料定義語言 (DDL) 陳述式、資料處理語言 (DML) 陳述式和查詢。這些端點一律連線至 RDS 資料庫叢集的主要執行個體。當您在應用程式中僅使用單一端點時，您可以使用讀取/寫入端點來進行一般資料庫操作。您還可以將讀取/寫入端點用於管理操作、線上交易處理 (OLTP) 應用程式，以及解壓縮轉換-載入 (ETL) 任務。 使用唯讀端點的連線只能執行查詢。RDS Proxy 可以針對端點的每個連線使用其中一個讀取器執行個體。如此一來，查詢密集型應用程式可以利用多可用區域資料庫叢集的叢集功能。這些唯讀連線不會對叢集的主要執行個體施加任何額外負荷。如此一來，您的報告和分析查詢不會減慢 OLTP 應用程式的寫入操作。 1. 對於**虛擬私有雲端 (VPC)**，請選擇預設值，從通常用來存取代理或其相關聯資料庫的相同 EC2 執行個體或其他資源來存取端點。若要設定此代理的跨 VPC 存取，請選擇預設值以外的 VPC。如需跨 VPC 存取的詳細資訊，請參閱[跨 VPC 存取 RDS 資料庫](rds-proxy-endpoints.md#rds-proxy-cross-vpc)。 1. 對於**端點網路類型**，選擇代理端點的 IP 版本。可用選項為： + **IPv4** – 代理端點僅使用 IPv4 位址 (預設值)。 + **IPv6** – 代理端點僅使用 IPv6 位址。 + **雙堆疊** – 代理端點支援 IPv4 和 IPv6 位址。 若要使用 IPv6 或雙堆疊，您的 VPC 和子網路必須設定為支援選取的網路類型。 1. 對於**子網路**，RDS Proxy 預設會填入與關聯代理相同的子網路。若要限制對端點的存取，以便只有部分 VPC 地址範圍可以連線至其中，請移除一個或多個子網路。 1. 若為 **VPC Security groups** (VPC 安全群組)，您可以選擇現有的安全群組，或建立新的安全群組。依據預設，RDS Proxy 會填入與相關聯代理相同的安全群組或群組。如果代理的傳入和傳出規則適用於此端點，則保留預設選項。 如果您選擇建立新的安全群組，請在此頁面上指定安全群組的名稱。然後稍後從 EC2 主控台編輯安全群組設定。 1. 選擇 **Create proxy endpoint** (建立代理端點)。 ## AWS CLI 若要建立代理端點，請使用 AWS CLI [create-db-proxy-endpoint](https://docs.aws.amazon.com/cli/latest/reference/rds/create-db-proxy-endpoint.html) 命令。 包含下列必要參數： + `--db-proxy-name value` + `--db-proxy-endpoint-name value` + `--vpc-subnet-ids list_of_ids`. 以空格分隔子網路 ID。您沒有指定 VPC 本身的 ID。 您還可以包含下列選用參數： + `--target-role { READ_WRITE | READ_ONLY }`此參數預設為 `READ_WRITE`。當代理與僅包含寫入器資料庫執行個體的多可用區域資料庫叢集相關聯時，您無法指定 `READ_ONLY`。如需有關預期使用唯讀端點搭配 多可用區域資料庫叢集的詳細資訊，請參閱 [多可用區域資料庫叢集的讀取器端點](rds-proxy-endpoints.md#rds-proxy-endpoints-reader-stub)。 + `--vpc-security-group-ids value`. 以空格分隔安全群組 ID。如果省略此參數，RDS Proxy 會使用預設的 VPC 安全群組。RDS Proxy 會根據您為 `--vpc-subnet-ids` 參數指定的子網路 ID 來決定 VPC。 + `--endpoint-network-type { IPV4 | IPV6 | DUAL }`。此參數指定代理端點的 IP 版本。預設值為 `IPV4`。若要使用 `IPV6` 或 `DUAL`，您的 VPC 和子網路必須設定為支援選取的網路類型。 **Example** 下列範例會建立名稱為 `my-endpoint` 的代理端點 對於 Linux、macOS 或 Unix： ``` aws rds create-db-proxy-endpoint \ --db-proxy-name my-proxy \ --db-proxy-endpoint-name my-endpoint \ --vpc-subnet-ids subnet_id subnet_id subnet_id ... \ --target-role READ_ONLY \ --vpc-security-group-ids security_group_id \ --endpoint-network-type DUAL ``` 在 Windows 中： ``` aws rds create-db-proxy-endpoint ^ --db-proxy-name my-proxy ^ --db-proxy-endpoint-name my-endpoint ^ --vpc-subnet-ids subnet_id_1 subnet_id_2 subnet_id_3 ... ^ --target-role READ_ONLY ^ --vpc-security-group-ids security_group_id ^ --endpoint-network-type DUAL ``` ## RDS API 若要建立代理端點，請使用 RDS API [CreateDBProxyEndpoint](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_CreateDBProxyEndpoint.html) 動作。 # 檢視代理端點 若要檢視現有的代理端點，請遵循下列指示： ## 主控台 **若要檢視代理端點的詳細資訊** 1. 登入 AWS 管理主控台，開啟位於 [https://console.aws.amazon.com/rds/](https://console.aws.amazon.com/rds/) 的 Amazon RDS 主控台。 1. 在導覽窗格中，選擇 **Proxies** (代理)。 1. 在清單中，選擇您要檢視其端點的代理。按一下代理名稱，以檢視其詳細資訊頁面。 1. 在 **Proxy endpoints** (代理端點) 區段中，選擇您要檢視的端點。按一下其名稱，以檢視詳細資訊頁面。 1. 檢查您感興趣的參數值。您可以檢查如下所示屬性： + 端點是讀取/寫入還是唯讀。 + 您在資料庫連線字串中使用的端點地址。 + 與端點關聯的 VPC、子網路和安全群組。 ## AWS CLI 若要檢視一或多個代理端點，請使用 AWS CLI [describe-db-proxy-endpoints](https://docs.aws.amazon.com/cli/latest/reference/rds/describe-db-proxy-endpoints.html) 命令。 您可以包含下列任一選用參數： + `--db-proxy-endpoint-name` + `--db-proxy-name` 以下範例描述 `my-endpoint` 代理端點。 **Example** 針對 Linux、macOS 或 Unix： ``` aws rds describe-db-proxy-endpoints \ --db-proxy-endpoint-name my-endpoint ``` 針對 Windows： ``` aws rds describe-db-proxy-endpoints ^ --db-proxy-endpoint-name my-endpoint ``` ## RDS API 若要描述一個或多個代理端點，請使用 RDS API [DescribeDBProxyEndpoints](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_DescribeDBProxyEndpoints.html) 操作。 # 修改代理端點 若要修改代理端點，請遵循下列指示： ## 主控台 **修改一個或多個代理端點** 1. 登入 AWS 管理主控台，開啟位於 [https://console.aws.amazon.com/rds/](https://console.aws.amazon.com/rds/) 的 Amazon RDS 主控台。 1. 在導覽窗格中，選擇 **Proxies** (代理)。 1. 在清單中，選擇您要修改其端點的代理。按一下代理名稱，以檢視其詳細資訊頁面。 1. 在 **Proxy endpoints** (代理端點) 區段中，選擇您要修改的端點。您可以在清單中選取或按一下其名稱，以檢視詳細資訊頁面。 1. 在代理詳細資訊頁面的 **Proxy endpoints** (代理端點) 區段中，選擇 **Edit** (編輯)。或者在代理端點詳細資訊頁面上，針對**動作**，選擇**編輯**。 1. 變更您要修改的參數值。 1. 選擇**儲存變更**。 ## AWS CLI 若要修改代理端點，請使用 AWS CLI [modify-db-proxy-endpoint](https://docs.aws.amazon.com/cli/latest/reference/rds/modify-db-proxy-endpoint.html) 命令搭配下列必要參數： + `--db-proxy-endpoint-name` 使用下列一個或多個參數來指定對端點屬性的變更： + `--new-db-proxy-endpoint-name` + `--vpc-security-group-ids`. 以空格分隔安全群組 ID。 下列範例會將 `my-endpoint` 代理端點重新命名為 `new-endpoint-name`。 **Example** 針對 Linux、macOS 或 Unix： ``` aws rds modify-db-proxy-endpoint \ --db-proxy-endpoint-name my-endpoint \ --new-db-proxy-endpoint-name new-endpoint-name ``` 針對 Windows： ``` aws rds modify-db-proxy-endpoint ^ --db-proxy-endpoint-name my-endpoint ^ --new-db-proxy-endpoint-name new-endpoint-name ``` ## RDS API 若要修改代理端點，請使用 RDS API [ModifyDBProxyEndpoint](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_ModifyDBProxyEndpoint.html) 操作。 # 刪除代理端點 若要刪除代理的端點，請遵循下列指示： **注意** 您無法刪除 RDS Proxy 自動為每個代理建立的預設代理端點。 當您刪除代理時，RDS Proxy 會自動刪除所有關聯的端點。 ## 主控台 **若要使用 AWS 管理主控台 來刪除代理端點** 1. 在導覽窗格中，選擇 **Proxies** (代理)。 1. 在清單中，選擇您要刪除其端點的代理。按一下代理名稱，以檢視其詳細資訊頁面。 1. 在 **Proxy endpoints** (代理端點) 區段中，選擇您要刪除的端點。您可以在清單中選取一個或多個端點，或者按一下單一端點的名稱，以檢視詳細資訊頁面。 1. 在代理詳細資訊頁面的 **Proxy endpoints** (代理端點) 區段中，選擇 **Delete** (刪除)。或者在代理端點詳細資訊頁面上，針對**動作**，選擇**刪除**。 ## AWS CLI 若要刪除代理端點，請執行 [delete-db-proxy-endpoint](https://docs.aws.amazon.com/cli/latest/reference/rds/delete-db-proxy-endpoint.html) 命令，其中包含下列必要參數： + `--db-proxy-endpoint-name` 下列命令會刪除名稱為 `my-endpoint` 的代理端點。 針對 Linux、macOS 或 Unix： ``` aws rds delete-db-proxy-endpoint \ --db-proxy-endpoint-name my-endpoint ``` 針對 Windows： ``` aws rds delete-db-proxy-endpoint ^ --db-proxy-endpoint-name my-endpoint ``` ## RDS API 若要使用 RDS API 刪除代理端點，請執行 [DeleteDBProxyEndpoint](https://docs.aws.amazon.com/AmazonRDS/latest/APIReference/API_DeleteDBProxyEndpoint.html) 操作。指定代理端點 `DBProxyEndpointName` 參數的名稱。