Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Conditions préalables complètes pour travailler avec DMS Schema Conversion
Avant de créer un profil d'instance, d'ajouter des fournisseurs de données et de créer un projet de migration, effectuez les tâches préalables suivantes. Ces tâches configurent les AWS ressources dont la conversion de schéma DMS a besoin, telles qu'un VPC, un compartiment Amazon S3, des AWS Secrets Manager secrets et des rôles IAM avec des politiques d'autorisations.
**La console automatise la création de ressources**
Lorsque vous créez un projet de migration à l'aide de la console de AWS gestion, vous AWS DMS pouvez créer automatiquement les rôles IAM et le compartiment Amazon S3 requis en votre nom. Si vous préférez créer ces ressources manuellement, ou si vous utilisez l'API AWS CLI ou, procédez comme suit. Pour plus d'informations sur la création de projets de migration, consultez[ Création de projets de migration](migration-projects-create.md).
**Topics**
+ [Configurer VPC, Amazon S3 et Secrets Manager](#set-up-aws-resources)
+ [Création de rôles et de politiques IAM](#set-up-iam)
## Configurer VPC, Amazon S3 et Secrets Manager
Avant de créer des rôles et des politiques IAM, vous avez besoin des AWS ressources suivantes pour votre projet de migration.
**Amazon Virtual Private Cloud**
Vous avez besoin d'un VPC connecté à vos bases de données source et cible à partir de sous-réseaux situés dans au moins deux zones de disponibilité. Vous pouvez utiliser un VPC existant qui répond à ces exigences, ou en créer un nouveau, par exemple nommé`sc-vpc`. Pour plus d'informations sur la configuration réseau, consultez[Configuration d’un réseau pour la conversion de schéma DMS](instance-profiles-network.md).
**Amazon S3**
Vous avez besoin d'un compartiment Amazon S3 avec le contrôle de version activé pour stocker les rapports d'évaluation, le code SQL converti et les métadonnées du schéma de base de données. Créez un compartiment Amazon S3 dans la même région que votre projet de migration, par exemple nommé`amzn-s3-demo-bucket`, ou utilisez un compartiment existant qui répond à ces exigences. La conversion de schéma DMS prend en charge les compartiments Amazon S3 qui utilisent le Server-Side chiffrement avec des clés gérées par Amazon S3 (SSE-S3) ou le Server-Side chiffrement avec des clés AWS KMS (SSE-KMS). Cela inclut les clés gérées par le client. Si votre bucket utilise SSE-KMS une clé gérée par le client, assurez-vous que `sc-s3-role` cette clé dispose des autorisations nécessaires (voir[Création de rôles et de politiques IAM](#set-up-iam)). La conversion de schéma DMS ne prend pas en charge SSE-C Client-Side le chiffrement. Pour obtenir des instructions sur la création d'un compartiment, consultez [ la section Création d'un compartiment ](https://docs.aws.amazon.com/AmazonS3/latest/userguide/creating-bucket.html) dans le guide de l'utilisateur * Amazon S3*.
**AWS Secrets Manager**
Créez des secrets JSON AWS Secrets Manager contenant `username` des paires `password` clé-valeur pour vos bases de données source et cible, par exemple named `sc-source-secret` et. `sc-target-secret` Vos secrets doivent être identiques à ceux Région AWS de votre projet de migration. Si vous possédez déjà des secrets qui répondent à ces exigences, vous pouvez les réutiliser. Pour obtenir des instructions sur la création de secrets, voir [ Créer un AWS Secrets Manager secret ](https://docs.aws.amazon.com/secretsmanager/latest/userguide/create_secret.html) dans le Guide de *AWS Secrets Manager l'utilisateur*.
## Création de rôles et de politiques IAM
Pour utiliser la conversion de schéma DMS, créez les cinq rôles IAM suivants. Chaque rôle doit utiliser une politique de confiance qui permet au AWS DMS service d'assumer le rôle.
| Nom du rôle | Politique d’autorisations |
| --- | --- |
| sc-s3-role | Permet à DMS Schema Conversion de stocker les rapports d'évaluation, le code SQL converti et les métadonnées dans le compartiment Amazon S3 :****
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:ListBucket",
"s3:GetBucketLocation",
"s3:GetBucketVersioning"
],
"Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "111122223333"
}
}
},
{
"Effect": "Allow",
"Action": [
"s3:PutObject",
"s3:GetObject",
"s3:GetObjectVersion"
],
"Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
"Condition": {
"StringEquals": {
"aws:ResourceAccount": "111122223333"
}
}
}
]
}
SSE-KMS autorisations pour les clés gérées par le client Si votre compartiment Amazon S3 utilise SSE-KMS une clé gérée par le client, le `sc-s3-role` rôle doit être autorisé à utiliser cette clé. Utilisez l’une des méthodes suivantes.
Ajoutez la déclaration suivante à la politique `sc-s3-role` d'identité. Cette approche fonctionne lorsque la politique de clé KMS délègue l'accès à IAM, ce que fait la politique de clé par défaut :
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": "arn:aws:kms:us-east-1:{{111122223333}}:key/{{key-ID}}",
"Condition": {
"StringEquals": {
"kms:ViaService": "s3.us-east-1.amazonaws.com"
}
}
}
]
}
```
Ou ajoutez une instruction pour `sc-s3-role` à la politique de clé KMS. Utilisez cette approche lorsque la politique clé ne délègue pas l'accès à IAM. L'énoncé de politique clé prend un `Principal` et s'applique à la clé elle-même :
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowScS3RoleToUseTheKey",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::{{111122223333}}:role/{{sc-s3-role}}"
},
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"kms:ViaService": "s3.us-east-1.amazonaws.com"
}
}
}
]
}
```
Si votre bucket l'utilise SSE-S3, vous n'avez pas besoin d'autorisations supplémentaires. |
| sc-source-secret-role | Permet à DMS Schema Conversion de récupérer les informations d'identification de votre base de données source :****
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"secretsmanager:GetSecretValue",
"secretsmanager:DescribeSecret"
],
"Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:sc-source-secret*"
}
]
}
|
| sc-target-secret-role | Permet à DMS Schema Conversion de récupérer les informations d'identification de votre base de données cible :****
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"secretsmanager:GetSecretValue",
"secretsmanager:DescribeSecret"
],
"Resource": "arn:aws:secretsmanager:us-east-1:111122223333:secret:sc-target-secret*"
}
]
}
|
| dms-vpc-role | `AmazonDMSVPCManagementRole`(politique AWS gérée). Consultez [Création des rôles IAM à utiliser avec AWS DMS](security-iam.md#CHAP_Security.APIRole). |
| dms-cloudwatch-logs-role | `AmazonDMSCloudWatchLogsRole`(politique AWS gérée). Consultez [Création des rôles IAM à utiliser avec AWS DMS](security-iam.md#CHAP_Security.APIRole). |
Chaque rôle nécessite la politique de confiance suivante :
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "dms.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
Pour créer ces ressources, créez d'abord les politiques, puis créez les rôles et associez les politiques correspondantes. Pour obtenir des instructions, consultez les [ sections Création de politiques IAM ](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) et [ Création d'un rôle pour un AWS service ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) dans le Guide de l'utilisateur * IAM. *