本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

SQL Server 設定

在 SQL Server 環境中執行這些步驟，以啟用 AWS 轉換現代化。

資料庫設定和組態

步驟 1：建立具有必要許可的資料庫使用者

建立具有必要許可的 AWS Transform 專用資料庫使用者。如果您已經有 DMS 結構描述轉換使用者，則可以重複使用它。

連線至 SQL Server 執行個體並執行下列命令：

-- Create the login in master database
USE master;
CREATE LOGIN [atx_user] WITH PASSWORD = 'YourStrongPassword123!';

-- Switch to your application database
USE [YourDatabaseName];
CREATE USER [atx_user] FOR LOGIN [atx_user];

-- Grant required permissions
GRANT VIEW DEFINITION TO [atx_user];
GRANT VIEW DATABASE STATE TO [atx_user];
ALTER ROLE [db_datareader] ADD MEMBER [atx_user];

-- Grant master database permissions
USE master;
GRANT VIEW SERVER STATE TO [atx_user];
GRANT VIEW ANY DEFINITION TO [atx_user];

db_datareader 角色僅適用於資料遷移，而不只是結構描述轉換。

步驟 2：在 AWS Secrets Manager 中存放登入資料

將您的資料庫登入資料安全地存放在 AWS Secrets Manager 中。如果您已為 DMS 建立秘密，請略過此步驟。

步驟 3：建立必要的 DMS 角色

AWS 轉換需要 DMS 操作的特定 IAM 角色。使用以下 CloudFormation 範本部署這些角色。

使用下列內容建立名為 dms-roles.yaml 的檔案：

AWSTemplateFormatVersion: '2010-09-09'
Description: 'DMS Service Roles for AWS Transform SQL Server Modernization'

Resources:
  DMSCloudWatchLogsRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-cloudwatch-logs-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AmazonDMSCloudWatchLogsRole

  DMSS3AccessRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-s3-access-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: S3TaggedAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - s3:GetBucketLocation
                  - s3:GetBucketVersioning
                  - s3:PutObject
                  - s3:PutBucketVersioning
                  - s3:GetObject
                  - s3:GetObjectVersion
                  - s3:ListBucket
                  - s3:DeleteObject
                Resource: arn:aws:s3:::atx-db-modernization-*
                Condition:
                  StringEquals:
                    aws:ResourceAccount: !Ref AWS::AccountId

  DMSSecretsManagerRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-secrets-manager-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: SecretsManagerTaggedAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - secretsmanager:GetSecretValue
                  - secretsmanager:DescribeSecret
                Resource: '*'
                Condition:
                  StringEquals:
                    secretsmanager:ResourceTag/Project: atx-db-modernization
                    secretsmanager:ResourceTag/Owner: database-connector

  DMSVPCRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-vpc-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AmazonDMSVPCManagementRole

  DMSServerlessRole:
    Type: AWS::IAM::ServiceLinkedRole
    Properties:
      AWSServiceName: dms.amazonaws.com
      Description: 'Service Linked Role for AWS DMS Serverless'

Outputs:
  DMSCloudWatchLogsRoleArn:
    Description: ARN of the DMS CloudWatch Logs Role
    Value: !GetAtt DMSCloudWatchLogsRole.Arn
  DMSS3AccessRoleArn:
    Description: ARN of the DMS S3 Access Role
    Value: !GetAtt DMSS3AccessRole.Arn
  DMSSecretsManagerRoleArn:
    Description: ARN of the DMS Secrets Manager Role
    Value: !GetAtt DMSSecretsManagerRole.Arn
  DMSVPCRoleArn:
    Description: ARN of the DMS VPC Role
    Value: !GetAtt DMSVPCRole.Arn
    Export:
      Name: !Sub ${AWS::StackName}-VPCRole

  DMSServerlessRoleArn:
    Description: ARN of the DMS Serverless Role
    Value: !Sub 'arn:aws:iam::${AWS::AccountId}:role/aws-service-role/dms.amazonaws.com/AWSServiceRoleForDMSServerless'
    Export:
      Name: !Sub ${AWS::StackName}-ServerlessRole

使用 CLI 部署 CloudFormation AWS 堆疊：

aws cloudformation create-stack \
  --stack-name dms-roles \
  --template-body file://dms-roles.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-east-1

或使用 AWS 主控台部署：

步驟 4：設定網路安全

確保 AWS Transform、SQL Server 資料庫和其他 AWS 服務之間的網路連線正常。

安全群組組態 （建議的方法）

建議方法：使用安全群組型存取控制，而非 IP 型規則。這可提供更好的安全性、更輕鬆的管理，並與 AWS Transform 的架構無縫搭配運作。

為什麼要使用安全群組型存取控制？

設定 SQL Server 安全群組

當您在 AWS 轉換中設定 DMS 結構描述轉換執行個體描述檔時，您可以指定 DMS SC 執行個體的安全群組。您的資料庫安全群組應允許來自此 DMS SC 安全群組的傳入流量。

Step-by-step組態：

必要的 AWS 服務連線

確保您的 VPC 可以與下列人員通訊：

VPC 端點：針對私有網路，設定所需 AWS 服務的 VPC 端點，以避免網際網路閘道相依性。

外部託管資料庫的需求

如果您的 SQL Server 資料庫託管在 外部 AWS，請確定符合下列先決條件，然後在開始現代化之前完成設定步驟。

先決條件

設定步驟