Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

为 Amazon RDS Custom for Oracle 设置您的环境

在基于 Amazon RDS Custom for Oracle 创建数据库实例之前，请执行以下任务。

创建 RDS Custom for Oracle 实例的先决条件

在创建 RDS Custom for Oracle 数据库实例之前，请确保您满足以下先决条件：

对于每项任务，以下各节介绍了该任务的特定要求和限制。例如，当您创建 RDS Custom DB for Oracle 实例时，请使用运行 Oracle Linux 7 更新 6 的 db.m5 或 db.r5 实例类。有关适用于 RDS Custom 的一般要求，请参阅 Amazon RDS Custom for Oracle 的可用性和限制。

请确保您有对称的加密 Amazon KMS 密钥

RDS Custom 需要对称的加密 Amazon KMS 密钥。创建 RDS Custom for Oracle 数据库实例时，您需要提供 KMS 密钥标识符。有关更多信息，请参阅为 Amazon RDS Custom for Oracle 配置数据库实例。

您有以下选项：

RDS Custom 不支持 Amazon 管理的 KMS 密钥。

确保您使用的对称加密密钥为 IAM 实例配置文件中的 Amazon Identity and Access Management (IAM) 角色提供对 kms:Decrypt 和 kms:GenerateDataKey 操作的访问权限。如果您的账户中有一个新的对称加密密钥，不需要进行任何更改。否则，请确保对称加密密钥的策略可以提供对这些操作的访问权限。

有关为 RDS Custom for Oracle 配置 IAM 的更多信息，请参阅配置 IAM 和您的 VPC。

下载并安装 Amazon CLI

Amazon 为您提供了命令行界面以使用 RDS Custom 功能。您可以使用 Amazon CLI 的版本 1 或版本 2。

有关下载和安装 Amazon CLI 的信息，请参阅安装或更新 Amazon CLI 的最新版本。

如果您计划仅从 Amazon Web Services Management Console 访问 RDS Custom，请跳过此步骤。

如果您已为 Amazon RDS 或其他 RDS Custom 引擎下载了 Amazon CLI，请跳过此步骤。

配置 IAM 和您的 VPC

您可以使用以下方法之一配置 IAM 角色和 Virtual Private Cloud (VPC)：

使用 Amazon CloudFormation 配置 IAM 和 VPC

为了简化设置，您可以使用 Amazon CloudFormation 模板文件创建 CloudFormation 堆栈。要了解如何创建堆栈，请参阅《Amazon CloudFormation 用户指南》中的在 Amazon CloudFormation 控制台上创建堆栈。

步骤 1：下载 CloudFormation 模板文件

步骤 2：使用 CloudFormation 配置 IAM

步骤 3：使用 CloudFormation 配置 VPC

此过程假定您已使用 CloudFormation 创建 IAM 角色。如果您已经为其他 RDS Custom 引擎配置了 VPC，请跳过此步骤。

在开始以下过程之前，请确保您知道您的路由表 ID。

手动创建您的 IAM 角色和实例配置文件

要使用 RDS Custom，您可以创建名为 AWSRDSCustomInstanceProfileForRdsCustomInstance 的 IAM 实例配置文件。您还将为实例配置文件创建一个 IAM 角色 AWSRDSCustomInstanceRoleForRdsCustomInstance。然后您将 AWSRDSCustomInstanceRoleForRdsCustomInstance 添加到您的实例配置文件。

以下部分介绍如何在不使用 CloudFormation 的情况下执行任务。

创建角色 AWSRDSCustomInstanceRoleForRdsCustomInstance

以下示例将创建角色 AWSRDSCustomInstanceRoleForRdsCustomInstance。使用信任策略，以便 Amazon EC2 可以代入该角色。

aws iam create-role \
  --role-name AWSRDSCustomInstanceRoleForRdsCustomInstance \
  --assume-role-policy-document '{
    "Version": "2012-10-17",
      "Statement": [
        {
          "Action": "sts:AssumeRole",
          "Effect": "Allow",
          "Principal": {
              "Service": "ec2.amazonaws.com"
          }
        }
      ]
    }'

将访问策略添加到 AWSRDSCustomInstanceRoleForRdsCustomInstance 中

在将内联策略嵌入 IAM 角色中时，内联策略将用作角色的访问（权限）策略的一部分。您将创建 AWSRDSCustomIamRolePolicy 策略，以允许 Amazon EC2 发送和接收消息，以及执行各种操作。

以下示例创建 AWSRDSCustomIamRolePolicy 名为的访问策略，然后将其添加到 IAM 角色 AWSRDSCustomInstanceRoleForRdsCustomInstance。此示例假定您已在 Amazon CLI 中设置了 $REGION 和 $ACCOUNT_ID 变量。此示例还要求提供您要用于 RDS Custom 数据库实例的 Amazon KMS key 的 Amazon Resource Name (ARN)。

要指定多个 KMS 密钥，请将其添加到语句 ID (Sid) 11 的 Resources 部分。

aws iam put-role-policy \
  --role-name AWSRDSCustomInstanceRoleForRdsCustomInstance \
  --policy-name AWSRDSCustomIamRolePolicy \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeAssociation",
                "ssm:GetDeployablePatchSnapshotForInstance",
                "ssm:GetDocument",
                "ssm:DescribeDocument",
                "ssm:GetManifest",
                "ssm:GetParameter",
                "ssm:GetParameters",
                "ssm:ListAssociations",
                "ssm:ListInstanceAssociations",
                "ssm:PutInventory",
                "ssm:PutComplianceItems",
                "ssm:PutConfigurePackageResult",
                "ssm:UpdateAssociationStatus",
                "ssm:UpdateInstanceAssociationStatus",
                "ssm:UpdateInstanceInformation",
                "ssm:GetConnectionStatus",
                "ssm:DescribeInstanceInformation",
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "2",
            "Effect": "Allow",
            "Action": [
                "ec2messages:AcknowledgeMessage",
                "ec2messages:DeleteMessage",
                "ec2messages:FailMessage",
                "ec2messages:GetEndpoint",
                "ec2messages:GetMessages",
                "ec2messages:SendReply"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "3",
            "Effect": "Allow",
            "Action": [
                "logs:PutRetentionPolicy",
                "logs:PutLogEvents",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup"
            ],
            "Resource": [
                "arn:aws:logs:'$REGION':*:log-group:rds-custom-instance*"
            ]
        },
        {
            "Sid": "4",
            "Effect": "Allow",
            "Action": [
                "s3:putObject",
                "s3:getObject",
                "s3:getObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::do-not-delete-rds-custom-*/*"
            ]
        },
        {
            "Sid": "5",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": [
                        "RDSCustomForOracle/Agent"
                    ]
                }
            }
        },
        {
            "Sid": "6",
            "Effect": "Allow",
            "Action": [
                "events:PutEvents"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "7",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": [
                "arn:aws:secretsmanager:'$REGION':'$ACCOUNT_ID':secret:do-not-delete-rds-custom-*"
            ]
        },
        {
           "Sid": "8",
           "Effect": "Allow",
           "Action": [
             "s3:ListBucketVersions"
           ],
           "Resource": [
             "arn:aws:s3:::do-not-delete-rds-custom-*"
           ]
         },
         {
            "Sid": "9",
            "Effect": "Allow",
            "Action": "ec2:CreateSnapshots",
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ec2:*:*:volume/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/AWSRDSCustom": "custom-oracle"
                }
            }
          },
          {
            "Sid": "10",
            "Effect": "Allow",
            "Action": "ec2:CreateSnapshots",
            "Resource": [
                "arn:aws:ec2:*::snapshot/*"
            ]
          },
          {
            "Sid": "11",
            "Effect": "Allow",
            "Action": [
              "kms:Decrypt",
              "kms:GenerateDataKey"
            ],
            "Resource": [
              "arn:aws:kms:'$REGION':'$ACCOUNT_ID':key/abcd1234-5678-eeff-9012-123456abcdef"
            ]
          },
          {
            "Sid": "12",
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ec2:CreateAction": [
                        "CreateSnapshots"
                    ]
                }
            }
        }
    ]
}'

创建您的 RDS Custom 实例配置文件

按如下方式创建您的 IAM 实例配置文件，将其命名为 AWSRDSCustomInstanceProfileForRdsCustomInstance。

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomInstanceProfileForRdsCustomInstance

将 AWSRDSCustomInstanceRoleForRdsCustomInstance 添加到 RDS Custom 实例配置文件

将 IAM 角色 AWSRDSCustomInstanceRoleForRdsCustomInstance 添加到配置文件 AWSRDSCustomInstanceProfileForRdsCustomInstance。

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomInstanceProfileForRdsCustomInstance \
    --role-name AWSRDSCustomInstanceRoleForRdsCustomInstance

手动配置您的 VPC

就像 Amazon EC2 实例或 Amazon RDS 实例一样，您的 RDS Custom 数据库实例位于基于 Amazon VPC 服务的虚拟私有云 (VPC) 中。您将提供并配置自己的 VPC。因此，您将能够完全控制实例联网设置。

RDS Custom 将通信从数据库实例发送到其他 Amazon Web Services。为了确保 RDS Custom 可以通信，它会验证与这些服务的网络连接。

您的数据库实例与以下 Amazon Web Services进行通信：

确保在配置涉及数据库实例和 Amazon Web Services 之间通信的 VPC 组件时满足以下要求：

如果您已经为其他 RDS Custom 引擎配置了 VPC，可以重复使用此 VPC 并跳过此过程。

配置您的实例安全组

安全组充当 VPC 实例的虚拟防火墙，以控制入站和出站流量。RDS Custom 数据库实例具有原定设置安全组，可用于保护实例。确保您的安全组允许 RDS Custom 和其他 Amazon Web Services之间的流量。

有关安全组的更多信息，请参阅 Amazon VPC 开发人员指南中的您的 VPC 的安全组。

为依赖项 Amazon Web Services配置端点

确保您的 VPC 允许建立到以下 Amazon Web Services（数据库实例与之通信）的出站流量：

我们建议您按照以下说明为 VPC 中的每项服务添加端点。但是，您也可以使用任何其他解决方案，只要使您的 VPC 能够与 Amazon 服务终端节点通信即可。例如，您可以使用网络地址转换 (NAT) 或 Amazon Direct Connect。

下表说明了如何查找您的 VPC 用于出站通信所需的端点列表。

配置实例元数据服务

请确保您的实例可以执行以下操作：

有关更多信息，请参阅《适用于 Linux 实例的 Amazon EC2 用户指南》中的使用 IMDSv2。

RDS Custom for Oracle 自动化程序预设情况下使用 IMDSv2，方法是在底层 Amazon EC2 实例上设置 HttpTokens=enabled。但是，您也可以根据需要使用 IMDSv1。有关更多信息，请参阅《适用于 Linux 实例的 Amazon EC2 用户指南》中的配置实例元数据选项。

为您的 IAM 用户授予所需的权限

确保创建 CEV 或数据库实例的 IAM 主体具有以下任一策略：

Amazon S3 和 Amazon KMS 所需权限

要创建 CEV 或 RDS Custom for Oracle 数据库实例，IAM 主体需要访问 Amazon S3 和 Amazon KMS。以下示例 JSON 策略授予所需的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

有关 kms:CreateGrant 权限的更多信息，请参阅 Amazon KMS key 管理。

创建 CEV 所需的权限

要创建 CEV，IAM 主体需要以下额外权限：

s3:GetObjectAcl
s3:GetObject
s3:GetObjectTagging
s3:ListBucket
mediaimport:CreateDatabaseBinarySnapshot

以下示例 JSON 策略授予存储桶 my-custom-installation-files 及其内容额外的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AccessToS3MediaBucket",
            "Effect": "Allow",
            "Action": [
                "s3:GetObjectAcl",
                "s3:GetObject",
                "s3:GetObjectTagging",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::my-custom-installation-files",
                "arn:aws:s3:::my-custom-installation-files/*"
            ]
        },
        {
            "Sid": "PermissionForByom",
            "Effect": "Allow",
            "Action": [
                "mediaimport:CreateDatabaseBinarySnapshot"
            ],
            "Resource": "*"
        }
    ]
}

您可以使用 S3 存储桶策略向调用者的账户授予 Amazon S3 的类似权限。

从 CEV 创建数据库实例所需的权限

要从现有的 CEV 创建数据库实例，IAM 主体需要以下额外权限：

iam:SimulatePrincipalPolicy
cloudtrail:CreateTrail
cloudtrail:StartLogging

以下示例 JSON 策略授予所需的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        }
    ]
}