Konfigurieren von IAM-Berechtigungen für die Integration von RDS für Oracle in Amazon EFS

Standardmäßig verwendet die Amazon EFS-Integrationsfunktion keine IAM-Rolle: Die USE_IAM_ROLE Optionseinstellung istFALSE. Um RDS for Oracle mit Amazon EFS und einer IAM-Rolle zu integrieren, muss Ihre DB-Instance über IAM-Berechtigungen für den Zugriff auf ein Amazon EFS-Dateisystem verfügen.

Schritt 1: Erstellen einer IAM-Rolle für Ihre DB-Instance und Anfügen Ihrer Richtlinie

Bei diesem Schritt erstellen Sie eine Rolle für Ihre DB-Instance von RDS für Oracle, um Amazon RDS den Zugriff auf Ihr EFS-Dateisystem zu ermöglichen.

Konsole

So erstellen Sie eine IAM-Rolle, um Amazon RDS; den Zugriff auf ein EFS-Dateisystem zu ermöglichen

1. Öffnen Sie die IAM-Managementkonsole.

2. Wählen Sie im Navigationsbereich Rollen aus.

3. Wählen Sie Create role (Rolle erstellen) aus.

4. Wählen Sie für denAWS Service RDS aus.

5. Wählen Sie unter Select your use case (Anwendungsfall auswählen) die Option RDS – Add Role to Database (RDS – Rolle zur Datenbank hinzufügen) aus.

6. Wählen Sie Weiter aus.

7. Fügen Sie keine Berechtigungsrichtlinien hinzu. Wählen Sie Weiter aus.

8. Legen Sie unter Role Name (Rollenname) einen Namen für Ihre IAM-Rolle fest, zum Beispiel rds-efs-integration-role. Sie können auch einen optionalen Wert für Description (Beschreibung) hinzufügen.

9. Wählen Sie Rolle erstellen aus.

AWS CLI

Wir empfehlen die Verwendung der globalen Bedingungskontextschlüssel aws:SourceArn und aws:SourceAccount in ressourcenbasierten Vertrauensbeziehungen, um die Berechtigungen des Services auf eine bestimmte Ressource zu beschränken. Dies ist der effektivste Weg, um sich vor dem verwirrtes Stellvertreterproblem zu schützen.

Sie können beide globalen Bedingungskontextschlüssel verwenden und der Wert aws:SourceArn enthält die Konto-ID. Stellen Sie in diesen Fällen sicher, dass der Wert aws:SourceAccount und das Konto im Wert aws:SourceArn dieselbe Konto-ID verwenden, wenn sie in derselben Anweisung verwendet werden.

• Verwenden von aws:SourceArn wenn Sie einen serviceübergreifenden Zugriff für eine einzelne Ressource wünschen.

• Verwenden von aws:SourceAccount wenn Sie zulassen möchten, dass eine Ressource in diesem Konto mit der betriebsübergreifenden Verwendung verknüpft wird.

Stellen Sie in der Vertrauensbeziehung sicher, dass Sie den globalen Bedingungskontextschlüssel aws:SourceArn mit dem vollständigen Amazon-Ressourcennamen (ARN) der Ressourcen verwenden, die auf die Rolle zugreifen.

Der folgende AWS CLI Befehl erstellt die rds-efs-integration-role für diesen Zweck benannte Rolle.

Beispiel

Für LinuxmacOS, oderUnix:

aws iam create-role \
   --role-name rds-efs-integration-role \
   --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
            "Service": "rds.amazonaws.com"
          },
         "Action": "sts:AssumeRole",
         "Condition": {
             "StringEquals": {
                 "aws:SourceAccount": my_account_ID,
                 "aws:SourceArn": "arn:aws:rds:Region:my_account_ID:db:dbname"
             }
         }
       }
     ]
   }'

Windows:

aws iam create-role ^
   --role-name rds-efs-integration-role ^
   --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
            "Service": "rds.amazonaws.com"
          },
         "Action": "sts:AssumeRole",
         "Condition": {
             "StringEquals": {
                 "aws:SourceAccount": my_account_ID,
                 "aws:SourceArn": "arn:aws:rds:Region:my_account_ID:db:dbname"
             }
         }
       }
     ]
   }'

Weitere Informationen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen IAM-Benutzer im IAM-Benutzerhandbuch.

Schritt 2: Erstellen einer Dateisystemrichtlinie für Ihr Amazon-EFS-Dateisystem

Bei diesem Schritt erstellen Sie eine Dateisystemrichtlinie für Ihr Amazon-EFS-Dateisystem.

So erstellen oder bearbeiten Sie eine Dateisystemrichtlinie

1. Öffnen Sie die EFS-Managementkonsole.

2. Wählen Sie File Systems (Dateisysteme) aus.

3. Wählen Sie auf der Seite File systems (Dateisysteme) das Dateisystem aus, für das Sie eine Dateisystemrichtlinie bearbeiten oder erstellen möchten. Die Detailseite für dieses Dateisystem wird angezeigt.

4. Wählen Sie die Registerkarte File system policy (Dateisystemrichtlinie) aus.

   Wenn die Richtlinie leer ist, wird die standardmäßige EFS-Dateisystemrichtlinie verwendet. Weitere Informationen finden Sie unter Standardrichtlinie für das EFS-Dateisystem im Benutzerhandbuch für Amazon Elastic File System.

5. Wählen Sie Bearbeiten aus. Die Seite File system policy (Dateisystemrichtlinie) wird angezeigt.

6. Geben Sie im Policy editor (Richtlinien-Editor) eine Richtlinie wie die folgende ein, und wählen Sie dann Save (Speichern) aus.

   JSON

   {
       "Version": "2012-10-17",
       "Id": "ExamplePolicy01",
       "Statement": [
           {
               "Sid": "ExampleStatement01",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::123456789012:role/rds-efs-integration-role"
               },
               "Action": [
                   "elasticfilesystem:ClientMount",
                   "elasticfilesystem:ClientWrite",
                   "elasticfilesystem:ClientRootAccess"
               ],
               "Resource": "arn:aws:elasticfilesystem:us-east-1:123456789012:file-system/fs-1234567890abcdef0"
           }
       ]
   }
   

Schritt 3: Zuordnen Ihrer IAM-Rolle zu Ihrer DB-Instance von RDS für Oracle

Bei diesem Schritt ordnen Sie Ihre IAM-Rolle Ihrer DB-Instance zu. Beachten Sie die folgenden Anforderungen:

• Sie müssen Zugriff auf eine IAM-Rolle haben, der die erforderliche Amazon-EFS-Berechtigungsrichtlinie angefügt ist.

• Sie können jeweils nur eine IAM-Rolle Ihrer DB-Instance von RDS für Oracle hinzufügen.

• Der Status Ihrer Instance muss Available lauten.

Weitere Informationen finden Sie unter Identity and Access Management für Amazon EFS im Benutzerhandbuch für Amazon Elastic File System.

Konsole

So ordnen Sie Ihre IAM-Rolle Ihrer DB-Instance von RDS for Oracle zu

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon RDS-Konsole unter https://console.aws.amazon.com/rds/.

2. Wählen Sie Datenbanken aus.

3. Wenn Ihre Datenbank-Instance nicht verfügbar ist, wählen Sie die Option Aktionen und anschließend Starten. Sobald der Instance-Status Gestartet lautet, fahren Sie mit dem nächsten Schritt fort.

4. Wählen Sie den Namen der Oracle DB-Instance aus, um deren Details anzuzeigen.

5. Auf derKonnektivität & SicherheitScrollen Sie nach unten zumIAM-Rollen verwaltenunten auf der Seite.

6. Wählen Sie die Rolle aus, die Sie hinzufügen möchten in Fügen Sie dieser Instanz IAM-Rollen hinzu.

7. Wählen Sie unter Feature (Funktion) die Option EFS_INTEGRATION aus.

8. Wählen Sie Rolle hinzufügen aus.

AWS CLI

Der folgende AWS CLI Befehl fügt die Rolle einer Oracle-DB-Instance mit dem Namen hinzumydbinstance.

Beispiel

Für LinuxmacOS, oderUnix:

aws rds add-role-to-db-instance \
   --db-instance-identifier mydbinstance \
   --feature-name EFS_INTEGRATION \
   --role-arn your-role-arn                    

Windows:

aws rds add-role-to-db-instance ^
   --db-instance-identifier mydbinstance ^
   --feature-name EFS_INTEGRATION ^
   --role-arn your-role-arn

Ersetzen Sie your-role-arn durch den Rollen-ARN, den Sie im vorherigen Schritt notiert haben. Für die Option EFS_INTEGRATION muss --feature-name angegeben werden.