Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

为 Amazon RDS Custom for Oracle 设置您的环境

在创建 Amazon RDS Custom for Oracle 数据库实例之前，请执行以下任务。

步骤 1：创建或重用对称加密 Amazon KMS 密钥

客户托管密钥是您的 Amazon 账户中由您创建、拥有和管理的 Amazon KMS keys。RDS Custom 需要客户自主管理型对称加密 KMS 密钥。创建 RDS Custom for Oracle 数据库实例时，您需要提供 KMS 密钥标识符。有关更多信息，请参阅 为 Amazon RDS Custom for Oracle 配置数据库实例。

您有以下选项：

确保您的对称加密密钥为 IAM 实例配置文件中的 kms:Decrypt（IAM）角色授予对 kms:GenerateDataKey 和 Amazon Identity and Access Management 操作的访问权限。如果您的账户中有一个新的对称加密密钥，不需要进行任何更改。否则，请确保对称加密密钥的策略授予对这些操作的访问权限。

有关更多信息，请参阅 步骤 4：为 RDS Custom for Oracle 配置 IAM。

有关为 RDS Custom for Oracle 配置 IAM 的更多信息，请参阅步骤 4：为 RDS Custom for Oracle 配置 IAM。

步骤 2：下载并安装 Amazon CLI

Amazon 为您提供了命令行界面以使用 RDS Custom 功能。您可以使用 Amazon CLI 的版本 1 或版本 2。

有关下载和安装 Amazon CLI 的信息，请参阅安装或更新 Amazon CLI 的最新版本。

如果满足以下任一条件，请跳过此步骤：

步骤 3：提取 RDS Custom for Oracle 的 CloudFormation 模板

为了简化设置，我们强烈建议您使用 Amazon CloudFormation 模板创建 CloudFormation 堆栈。如果您计划手动配置 IAM 和 VPC，请跳过此步骤。

步骤 3a：下载 CloudFormation 模板文件

CloudFormation 模板是对构成堆栈的 Amazon 资源的声明。此模板存储为 JSON 文件。

步骤 3b：提取 custom-oracle-iam.json

打开您下载的 custom-oracle-iam.zip 文件，然后解压缩文件 custom-oracle-iam.json。文件的开头如下所示。

{
  "AWSTemplateFormatVersion": "2010-09-09",
  "Parameters": {
    "EncryptionKey": {
      "Type": "String",
      "Default": "*",
      "Description": "KMS Key ARN for encryption of data managed by RDS Custom and by DB Instances."
    }
  },
  "Resources": {
    "RDSCustomInstanceServiceRole": {
      "Type": "AWS::IAM::Role",
      "Properties": {
        "RoleName": { "Fn::Sub": "AWSRDSCustomInstanceRole-${AWS::Region}" },
        "AssumeRolePolicyDocument": {
          "Version": "2012-10-17",
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": "ec2.amazonaws.com"
              }
            }
          ]
        },...

步骤 3c：提取 custom-vpc.json

打开您下载的 custom-vpc.zip 文件，然后解压缩文件 custom-vpc.json。文件的开头如下所示。

{
  "AWSTemplateFormatVersion": "2010-09-09",
  "Parameters": {
    "PrivateVpc": {
      "Type": "AWS::EC2::VPC::Id",
      "Description": "Private VPC Id to use for RDS Custom DB Instances"
    },
    "PrivateSubnets": {
      "Type": "List<AWS::EC2::Subnet::Id>",
      "Description": "Private Subnets to use for RDS Custom DB Instances"
    },
    "RouteTable": {
      "Type": "String",
      "Description": "Route Table that must be associated with the PrivateSubnets and used by S3 VPC Endpoint",
      "AllowedPattern": "rtb-[0-9a-z]+"
    }
  },
  "Resources": {
    "DBSubnetGroup": {
      "Type": "AWS::RDS::DBSubnetGroup",
      "Properties": {
        "DBSubnetGroupName": "rds-custom-private",
        "DBSubnetGroupDescription": "RDS Custom Private Network",
        "SubnetIds": {
          "Ref": "PrivateSubnets"
        }
      }
    },...

步骤 4：为 RDS Custom for Oracle 配置 IAM

您使用 IAM 角色或 IAM 用户（称为 IAM 实体），通过控制台或 Amazon CLI 创建 RDS Custom 数据库实例。此 IAM 实体必须具有创建实例所需的权限。

您可以使用 CloudFormation 或手动步骤配置 IAM。

使用 CloudFormation 配置 IAM

当您对 IAM 使用 CloudFormation 模板时，该模板会创建以下必需的资源：

手动创建您的 IAM 角色和实例配置文件

使用 CloudFormation 时，配置是最简单的。但是，您还可以手动配置 IAM。对于手动设置，请执行以下操作：

步骤 1：创建 IAM 角色 AWSRDSCustomInstanceRoleForRdsCustomInstance

在此步骤中，您将使用命名格式 AWSRDSCustomInstanceRole-region 创建角色。使用信任策略，以便 Amazon EC2 可以代入该角色。以下示例假设您已将环境变量 $REGION 设置为要在其中创建数据库实例的 Amazon Web Services 区域。

aws iam create-role \
  --role-name AWSRDSCustomInstanceRole-$REGION \
  --assume-role-policy-document '{
    "Version": "2012-10-17",
      "Statement": [
        {
          "Action": "sts:AssumeRole",
          "Effect": "Allow",
          "Principal": {
              "Service": "ec2.amazonaws.com"
          }
        }
      ]
    }'

步骤 2：将访问策略添加到 AWSRDSCustomInstanceRoleForRdsCustomInstance 中

在将内联策略嵌入 IAM 角色中时，内联策略将用作角色的访问（权限）策略的一部分。您将创建 AWSRDSCustomIamRolePolicy 策略，以允许 Amazon EC2 发送和接收消息，以及执行各种操作。

以下示例创建 AWSRDSCustomIamRolePolicy 名为的访问策略，然后将其添加到 IAM 角色 AWSRDSCustomInstanceRole-region。此示例假定您已设置以下环境变量：

aws iam put-role-policy \
  --role-name AWSRDSCustomInstanceRole-$REGION \
  --policy-name AWSRDSCustomIamRolePolicy \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeAssociation",
                "ssm:GetDeployablePatchSnapshotForInstance",
                "ssm:GetDocument",
                "ssm:DescribeDocument",
                "ssm:GetManifest",
                "ssm:GetParameter",
                "ssm:GetParameters",
                "ssm:ListAssociations",
                "ssm:ListInstanceAssociations",
                "ssm:PutInventory",
                "ssm:PutComplianceItems",
                "ssm:PutConfigurePackageResult",
                "ssm:UpdateAssociationStatus",
                "ssm:UpdateInstanceAssociationStatus",
                "ssm:UpdateInstanceInformation",
                "ssm:GetConnectionStatus",
                "ssm:DescribeInstanceInformation",
                "ssmmessages:CreateControlChannel",
                "ssmmessages:CreateDataChannel",
                "ssmmessages:OpenControlChannel",
                "ssmmessages:OpenDataChannel"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "2",
            "Effect": "Allow",
            "Action": [
                "ec2messages:AcknowledgeMessage",
                "ec2messages:DeleteMessage",
                "ec2messages:FailMessage",
                "ec2messages:GetEndpoint",
                "ec2messages:GetMessages",
                "ec2messages:SendReply"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "3",
            "Effect": "Allow",
            "Action": [
                "logs:PutRetentionPolicy",
                "logs:PutLogEvents",
                "logs:DescribeLogStreams",
                "logs:DescribeLogGroups",
                "logs:CreateLogStream",
                "logs:CreateLogGroup"
            ],
            "Resource": [
                "arn:aws:logs:'$REGION':'$ACCOUNT_ID':log-group:rds-custom-instance*"
            ]
        },
        {
            "Sid": "4",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::do-not-delete-rds-custom-*/*"
            ]
        },
        {
            "Sid": "5",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "cloudwatch:namespace": [
                        "RDSCustomForOracle/Agent"
                    ]
                }
            }
        },
        {
            "Sid": "6",
            "Effect": "Allow",
            "Action": [
                "events:PutEvents"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "7",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret"
            ],
            "Resource": [
                "arn:aws:secretsmanager:'$REGION':'$ACCOUNT_ID':secret:do-not-delete-rds-custom-*",
                "arn:aws:secretsmanager:'$REGION':'$ACCOUNT_ID':secret:rds-custom!oracle-do-not-delete-*"
            ]
        },
        {
           "Sid": "8",
           "Effect": "Allow",
           "Action": [
             "s3:ListBucketVersions"
           ],
           "Resource": [
             "arn:aws:s3:::do-not-delete-rds-custom-*"
           ]
         },
         {
            "Sid": "9",
            "Effect": "Allow",
            "Action": "ec2:CreateSnapshots",
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ec2:*:*:volume/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/AWSRDSCustom": "custom-oracle"
                }
            }
          },
          {
            "Sid": "10",
            "Effect": "Allow",
            "Action": "ec2:CreateSnapshots",
            "Resource": [
                "arn:aws:ec2:*::snapshot/*"
            ]
          },
          {
            "Sid": "11",
            "Effect": "Allow",
            "Action": [
              "kms:Decrypt",
              "kms:GenerateDataKey"
            ],
            "Resource": [
              "arn:aws:kms:'$REGION':'$ACCOUNT_ID':key/'$KMS_KEY'"
            ]
          },
          {
            "Sid": "12",
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ec2:CreateAction": [
                        "CreateSnapshots"
                    ]
                }
            }
        }
    ]
}'

步骤 3：创建 RDS Custom 实例配置文件 AWSRDSCustomInstanceProfile

实例配置文件是包含单个 IAM 角色的容器。RDS Custom 使用实例配置文件将角色传递给实例。

如果您使用 CLI 创建角色，则是以单独操作的形式创建角色和实例配置文件，可以为它们提供不同的名称。按如下方式创建您的 IAM 实例配置文件，并使用格式 AWSRDSCustomInstanceProfile-region 对该配置文件命名。以下示例假设您已将环境变量 $REGION 设置为要在其中创建数据库实例的 Amazon Web Services 区域。

aws iam create-instance-profile \
    --instance-profile-name AWSRDSCustomInstanceProfile-$REGION

步骤 4：将 AWSRDSCustomInstanceRoleForRdsCustomInstance 添加到 AWSRDSCustomInstanceProfile

将您的 IAM 角色添加到您之前创建的实例配置文件。以下示例假设您已将环境变量 $REGION 设置为要在其中创建数据库实例的 Amazon Web Services 区域。

aws iam add-role-to-instance-profile \
    --instance-profile-name AWSRDSCustomInstanceProfile-$REGION \
    --role-name AWSRDSCustomInstanceRole-$REGION

步骤 5：为您的 IAM 用户或角色授予所需的权限

确保创建 CEV 或 RDS Custom 数据库实例的 IAM 主体（用户或角色）具有以下任一策略：

Amazon S3 和 Amazon KMS 所需的 IAM 权限

要创建 CEV 或 RDS Custom for Oracle 数据库实例，IAM 主体需要访问 Amazon S3 和 Amazon KMS。以下示例 JSON 策略授予所需的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:PutBucketPolicy",
                "s3:PutBucketObjectLockConfiguration",
                "s3:PutBucketVersioning"
            ],
            "Resource": "arn:aws:s3:::do-not-delete-rds-custom-*"
        },
        {
            "Sid": "CreateKmsGrant",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

有关 kms:CreateGrant 权限的更多信息，请参阅 Amazon KMS key 管理。

创建 CEV 所需的 IAM 权限

要创建 CEV，IAM 主体需要以下额外权限：

s3:GetObjectAcl
s3:GetObject
s3:GetObjectTagging
s3:ListBucket
mediaimport:CreateDatabaseBinarySnapshot

以下示例 JSON 策略授予访问桶 my-custom-installation-files 及其内容所需的额外权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AccessToS3MediaBucket",
            "Effect": "Allow",
            "Action": [
                "s3:GetObjectAcl",
                "s3:GetObject",
                "s3:GetObjectTagging",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::my-custom-installation-files",
                "arn:aws:s3:::my-custom-installation-files/*"
            ]
        },
        {
            "Sid": "PermissionForByom",
            "Effect": "Allow",
            "Action": [
                "mediaimport:CreateDatabaseBinarySnapshot"
            ],
            "Resource": "*"
        }
    ]
}

您可以使用 S3 存储桶策略向调用者的账户授予 Amazon S3 的类似权限。

从 CEV 创建数据库实例所需的 IAM 权限

要从现有的 CEV 创建 RDS Custom for Oracle 数据库实例，IAM 主体需要以下额外权限。

iam:SimulatePrincipalPolicy
cloudtrail:CreateTrail
cloudtrail:StartLogging

以下示例 JSON 策略授予验证 IAM 角色和将信息记录到 Amazon CloudTrail 所需的权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ValidateIamRole",
            "Effect": "Allow",
            "Action": "iam:SimulatePrincipalPolicy",
            "Resource": "*"
        },
        {
            "Sid": "CreateCloudTrail",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:CreateTrail",
                "cloudtrail:StartLogging"
            ],
            "Resource": "arn:aws:cloudtrail:*:*:trail/do-not-delete-rds-custom-*"
        }
    ]
}

步骤 6：为 RDS Custom for Oracle 配置 VPC

就像 Amazon EC2 实例或 Amazon RDS 实例一样，您的 RDS Custom 数据库实例位于基于 Amazon VPC 服务的虚拟私有云 (VPC) 中。您将提供并配置自己的 VPC。与 RDS Custom for SQL Server 不同，RDS Custom for Oracle 不创建访问控制列表或安全组。您必须附加自己的安全组、子网和路由表。

您可以使用 CloudFormation 或手动流程配置您的虚拟私有云（VPC）。

使用 CloudFormation 配置 VPC（建议）

如果您已经为其他 RDS Custom 引擎配置了 VPC 并且想要重用现有的 VPC，请跳过此步骤。此部分假设如下：

当您对 VPC 使用 CloudFormation 模板时，该模板会创建以下资源：

为 RDS Custom for Oracle 手动配置 VPC

除了使用 Amazon CloudFormation 自动创建 VPC 之外，您还可以手动配置 VPC。当您具有使用现有资源的复杂网络设置时，此选项可能是最好的。

确保您的 VPC 可以访问从属 Amazon Web Services 服务

RDS Custom 将通信从数据库实例发送到其他 Amazon Web Services 服务。确保可以从您在其中创建 RDS Custom 数据库实例的子网访问以下服务：

如果创建多可用区部署

如果 RDS Custom 无法与必需的服务通信，它会发布以下事件：

Database instance in incompatible-network. SSM Agent connection not available. Amazon RDS can't connect to the dependent Amazon services.

Database instance in incompatible-network. Amazon RDS can't connect to dependent Amazon services. Make sure port 443 (HTTPS) allows outbound connections, and try again. "Failed to connect to the following services: s3 events"

为避免 incompatible-network 错误，请确保您的 RDS Custom 数据库实例与 Amazon Web Services 服务之间通信所涉及的 VPC 组件满足以下要求：

如果您已经为其他 RDS Custom 数据库引擎配置了 VPC，可以重用该 VPC 并跳过此过程。

配置实例元数据服务

请确保您的实例可以执行以下操作：

有关更多信息，请参阅《Amazon EC2 用户指南》中的使用 IMDSv2。

RDS Custom for Oracle 自动化程序预设情况下使用 IMDSv2，方法是在底层 Amazon EC2 实例上设置 HttpTokens=enabled。但是，您也可以根据需要使用 IMDSv1。有关更多信息，请参阅《Amazon EC2 用户指南》https://docs.amazonaws.cn/AWSEC2/latest/UserGuide/configuring-instance-metadata-options.html中的配置实例元数据选项。