Erstellen der erforderlichen IAM-Ressourcen für homogene Datenmigrationen in AWS DMS

Um homogene Datenmigrationen durchzuführen, müssen Sie eine IAM-Richtlinie und eine IAM-Rolle in Ihrem Konto erstellen, um mit anderen AWS-Services interagieren zu können. In diesem Abschnitt erstellen Sie diese erforderlichen IAM-Ressourcen.

Erstellen einer IAM-Richtlinie für homogene Datenmigrationen in AWS DMS

Damit Sie auf Ihre Datenbanken zugreifen und Daten migrieren können, erstellt AWS DMS eine Serverless-Umgebung für homogene Datenmigrationen. In dieser Umgebung benötigt AWS DMS den Zugriff auf VPC-Peering, Routing-Tabellen, Sicherheitsgruppen und andere AWS-Ressourcen. AWS DMS speichert außerdem Protokolle, Metriken und den Fortschritt für jede Datenmigration in Amazon CloudWatch. Um ein Datenmigrationsprojekt zu erstellen, benötigt AWS DMS den Zugriff auf diese Services.

In diesem Schritt erstellen Sie eine IAM-Richtlinie, die AWS DMS den Zugriff auf Amazon-EC2- und CloudWatch-Ressourcen ermöglicht. Anschließend erstellen Sie eine IAM-Rolle und fügen dieser diese Richtlinie an.

So erstellen Sie eine IAM-Richtlinie für homogene Datenmigrationen in AWS DMS

1. Melden Sie sich bei der AWS Management Console an und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Wählen Sie im Navigationsbereich Policies.

3. Wählen Sie Richtlinie erstellen aus.

4. Wählen Sie auf der Seite Richtlinie erstellen die Registerkarte JSON aus.

5. Fügen Sie den folgenden JSON-Code in den Editor ein.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:DescribeRouteTables",
                   "ec2:DescribeSecurityGroups",
                   "ec2:DescribeVpcPeeringConnections",
                   "ec2:DescribeVpcs",
                   "ec2:DescribePrefixLists",
                   "logs:DescribeLogGroups"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "servicequotas:GetServiceQuota"
               ],
               "Resource": "arn:aws:servicequotas:*:*:vpc/L-0EA8095F"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:DescribeLogStreams"
               ],
               "Resource": "arn:aws:logs:*:*:log-group:dms-data-migration-*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogStream",
                   "logs:PutLogEvents"
               ],
               "Resource": "arn:aws:logs:*:*:log-group:dms-data-migration-*:log-stream:dms-data-migration-*"
           },
           {
               "Effect": "Allow",
               "Action": "cloudwatch:PutMetricData",
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateRoute",
                   "ec2:DeleteRoute"
               ],
               "Resource": "arn:aws:ec2:*:*:route-table/*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateTags"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:security-group/*",
                   "arn:aws:ec2:*:*:security-group-rule/*",
                   "arn:aws:ec2:*:*:route-table/*",
                   "arn:aws:ec2:*:*:vpc-peering-connection/*",
                   "arn:aws:ec2:*:*:vpc/*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:AuthorizeSecurityGroupEgress",
                   "ec2:AuthorizeSecurityGroupIngress"
               ],
               "Resource": "arn:aws:ec2:*:*:security-group-rule/*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:AuthorizeSecurityGroupEgress",
                   "ec2:AuthorizeSecurityGroupIngress",
                   "ec2:RevokeSecurityGroupEgress",
                   "ec2:RevokeSecurityGroupIngress"
               ],
               "Resource": "arn:aws:ec2:*:*:security-group/*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:AcceptVpcPeeringConnection",
                   "ec2:ModifyVpcPeeringConnectionOptions"
               ],
               "Resource": "arn:aws:ec2:*:*:vpc-peering-connection/*"
           },
           {
               "Effect": "Allow",
               "Action": "ec2:AcceptVpcPeeringConnection",
               "Resource": "arn:aws:ec2:*:*:vpc/*"
           }
       ]
   }

6. Wählen Sie Weiter: Tags und Weiter: Prüfen aus.

7. Geben Sie unter Name* HomogeneousDataMigrationsPolicy ein und wählen Sie dann Richtlinie erstellen aus.

Erstellen einer IAM-Rolle für homogene Datenmigrationen in AWS DMS

In diesem Schritt erstellen Sie eine IAM-Rolle, die AWS DMS den Zugriff auf AWS Secrets Manager, Amazon EC2 und CloudWatch ermöglicht.

So erstellen Sie eine IAM-Rolle für homogene Datenmigrationen in AWS DMS

1. Melden Sie sich bei der AWS Management Console an, und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Wählen Sie im Navigationsbereich Roles.

3. Wählen Sie Create role (Rolle erstellen) aus.

4. Wählen Sie auf der Seite Vertrauenswürdige Entität auswählen unter Typ der vertrauenswürdigen Entität die Option AWS-Service aus. Unter Anwendungsfälle für andere AWS-Services wählen Sie DMS.

5. Markieren Sie das Kontrollkästchen DMS und wählen Sie Weiter.

6. Wählen Sie auf der Seite Berechtigungen hinzufügen die Option HomogeneousDataMigrationsPolicy aus, die Sie zuvor erstellt haben. Wählen Sie außerdem SecretsManagerReadWrite. Wählen Sie Weiter.

7. Geben Sie auf der Seite Rollenname festlegen und überprüfen HomogeneousDataMigrationsRole für Rollenname ein und wählen Sie Rolle erstellen aus.

8. Geben Sie auf der Seite Rollen HomogeneousDataMigrationsRole für Rollenname ein. Wählen Sie HomogeneousDataMigrationsRole aus.

9. Wählen Sie auf der Seite HomogeneousDataMigrationsRole die Registerkarte Vertrauensbeziehungen aus. Wählen Sie Edit trust policy (Vertrauensrichtlinie bearbeiten) aus.

10. Fügen Sie auf der Seite Vertrauensrichtlinie bearbeiten den folgenden JSON-Code in den Editor ein und ersetzen Sie den vorhandenen Text.

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "",
                "Effect": "Allow",
                "Principal": {
                    "Service": [
                        "dms-data-migrations.amazonaws.com",
                        "dms.your_region.amazonaws.com"
                    ]
                },
                "Action": "sts:AssumeRole"
            }
        ]
    }

    Ersetzen Sie im vorherigen Beispiel your_region durch den Namen Ihrer AWS-Region.

    Die vorherige ressourcenbasierte Richtlinie gewährt AWS DMS-Service-Prinzpalen Berechtigungen zur Ausführung von Aufgaben gemäß der von AWS verwalteten Richtlinie SecretsManagerReadWrite und der kundenverwalteten Richtlinie HomogeneousDataMigrationsPolicy.

11. Wählen Sie Update policy.