Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuración de SQL Server

Realice estos pasos en su entorno de SQL Server para habilitar la modernización de AWS Transform.

Instalación y configuración de la base de datos

Paso 1: Crear un usuario de base de datos con los permisos necesarios

Cree un usuario de base de datos dedicado para AWS Transform con los permisos necesarios. Si ya tiene un usuario de DMS Schema Conversion, puede reutilizarlo.

Conéctese a su instancia de SQL Server y ejecute los siguientes comandos:

-- Create the login in master database
USE master;
CREATE LOGIN [atx_user] WITH PASSWORD = 'YourStrongPassword123!';

-- Switch to your application database
USE [YourDatabaseName];
CREATE USER [atx_user] FOR LOGIN [atx_user];

-- Grant required permissions
GRANT VIEW DEFINITION TO [atx_user];
GRANT VIEW DATABASE STATE TO [atx_user];
ALTER ROLE [db_datareader] ADD MEMBER [atx_user];

-- Grant master database permissions
USE master;
GRANT VIEW SERVER STATE TO [atx_user];
GRANT VIEW ANY DEFINITION TO [atx_user];

La función db_datareader solo es necesaria para la migración de datos, no solo para la conversión de esquemas.

Paso 2: Almacene las credenciales en AWS Secrets Manager 

Guarde las credenciales de su base de datos de forma segura en AWS Secrets Manager. Omita este paso si ya ha creado un secreto para DMS.

Paso 3: Cree las funciones de DMS necesarias

AWS Transform requiere funciones de IAM específicas para las operaciones de DMS. Implemente estas funciones mediante la siguiente CloudFormation plantilla.

Crea un archivo llamado dms-roles.yaml con el siguiente contenido:

AWSTemplateFormatVersion: '2010-09-09'
Description: 'DMS Service Roles for AWS Transform SQL Server Modernization'

Resources:
  DMSCloudWatchLogsRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-cloudwatch-logs-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AmazonDMSCloudWatchLogsRole

  DMSS3AccessRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-s3-access-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: S3TaggedAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - s3:GetBucketLocation
                  - s3:GetBucketVersioning
                  - s3:PutObject
                  - s3:PutBucketVersioning
                  - s3:GetObject
                  - s3:GetObjectVersion
                  - s3:ListBucket
                  - s3:DeleteObject
                Resource: arn:aws:s3:::atx-db-modernization-*
                Condition:
                  StringEquals:
                    aws:ResourceAccount: !Ref AWS::AccountId

  DMSSecretsManagerRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-secrets-manager-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: SecretsManagerTaggedAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - secretsmanager:GetSecretValue
                  - secretsmanager:DescribeSecret
                Resource: '*'
                Condition:
                  StringEquals:
                    secretsmanager:ResourceTag/Project: atx-db-modernization
                    secretsmanager:ResourceTag/Owner: database-connector

  DMSVPCRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: dms-vpc-role
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service:
                - dms.amazonaws.com
                - schema-conversion.dms.amazonaws.com
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/service-role/AmazonDMSVPCManagementRole

  DMSServerlessRole:
    Type: AWS::IAM::ServiceLinkedRole
    Properties:
      AWSServiceName: dms.amazonaws.com
      Description: 'Service Linked Role for AWS DMS Serverless'

Outputs:
  DMSCloudWatchLogsRoleArn:
    Description: ARN of the DMS CloudWatch Logs Role
    Value: !GetAtt DMSCloudWatchLogsRole.Arn
  DMSS3AccessRoleArn:
    Description: ARN of the DMS S3 Access Role
    Value: !GetAtt DMSS3AccessRole.Arn
  DMSSecretsManagerRoleArn:
    Description: ARN of the DMS Secrets Manager Role
    Value: !GetAtt DMSSecretsManagerRole.Arn
  DMSVPCRoleArn:
    Description: ARN of the DMS VPC Role
    Value: !GetAtt DMSVPCRole.Arn
    Export:
      Name: !Sub ${AWS::StackName}-VPCRole

  DMSServerlessRoleArn:
    Description: ARN of the DMS Serverless Role
    Value: !Sub 'arn:aws:iam::${AWS::AccountId}:role/aws-service-role/dms.amazonaws.com/AWSServiceRoleForDMSServerless'
    Export:
      Name: !Sub ${AWS::StackName}-ServerlessRole

Implemente la CloudFormation pila mediante AWS CLI:

aws cloudformation create-stack \
  --stack-name dms-roles \
  --template-body file://dms-roles.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-east-1

O despliéguelo mediante la AWS consola:

Paso 4: Configurar la seguridad de la red

Asegúrese de que la conectividad de red sea adecuada entre AWS Transform, su base de datos de SQL Server y otros AWS servicios.

Configuración de grupos de seguridad (enfoque recomendado)

Enfoque recomendado: utilice un control de acceso basado en grupos de seguridad en lugar de IP-based reglas. Esto proporciona una mayor seguridad, una administración más sencilla y funciona a la perfección con la arquitectura de AWS Transform.

¿Por qué elegir Security Group-Based Access Control?

Configure su grupo de seguridad de SQL Server

Al configurar el perfil de instancia de conversión del esquema de DMS en AWS Transform, se especifica un grupo de seguridad para la instancia SC de DMS. El grupo de seguridad de su base de datos debe permitir el tráfico entrante desde este grupo de seguridad SC del DMS.

Step-by-step configuración:

Obligatorio AWS conectividad del servicio

Asegúrese de que su VPC pueda comunicarse con:

Puntos de enlace de VPC: en el caso de las redes privadas, configure los puntos de enlace de VPC para los AWS servicios necesarios a fin de evitar las dependencias de las puertas de enlace de Internet.

Requisitos para las bases de datos alojadas externamente

Si la base de datos de SQL Server está alojada fuera de AWS, asegúrese de que se cumplen los siguientes requisitos previos y, a continuación, complete los pasos de configuración antes de comenzar la modernización.

Requisitos previos

Pasos de configuración