本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # 使用 AWS DMS 在 SSL 模式下将 Amazon RDS for Oracle 迁移到 Amazon RDS for PostgreSQL *Pinesh Singal，Amazon Web Services* ## Summary 此模式提供了将 Amazon Relational Database Service （Amazon RDS）for Oracle 数据库实例迁移到 Amazon Web Services （AWS）云上的 Amazon RDS for PostgreSQL 数据库的指导。为了加密数据库之间的连接，该模式在 Amazon RDS 和 AWS Database Migration Service （AWS DMS）中使用证书颁发机构 (CA) 和 SSL 模式。 该模式描述了一种在线迁移策略，对于具有大量事务的多 TB Oracle 源数据库，停机时间很少或没有停机时间。为了数据安全，该模式在传输数据时使用 SSL。 此模式使用 AWS Schema Conversion Tool（AWS SCT）将 Amazon RDS for Oracle 数据库架构转换为 Amazon RDS for PostgreSQL 架构。然后，该模式使用 AWS DMS 将数据从 Amazon RDS for Oracle 数据库迁移到 Amazon RDS for PostgreSQL 数据库。 ## 先决条件和限制 **先决条件** + 一个活跃的 AWS 账户  + 仅使用 ***rds-ca-rsa2048***-g1 配置的 Amazon RDS 数据库证书颁发机构 (CA) + ***rds-ca-2019*** 证书已于 2024 年 8 月到期。 + ***rds-ca-2015*** 证书已于 2020 年 3 月 5 日过期。 + AWS SCT + AWS DMS + pgAdmin + SQL 工具（例如 SQL Developer 或 SQL\*Plus） **限制** + Amazon RDS for Oracle 数据库 – 企业版和标准版两个版本的最低要求是 Oracle 版本 19c。 + Amazon RDS for PostgreSQL 数据库 – 最低要求是 PostgreSQL 版本 12 及更高版本（适用于版本 9.x 及更高版本）。 **产品版本** + Amazon RDS for Oracle 数据库版本 12.1.0.2 实例 + Amazon RDS for PostgreSQL 数据库版本 11.5 实例 ## 架构 **源技术堆栈** + 版本 12.1.0.2.v18 的 Amazon RDS for Oracle 数据库实例。 **目标技术堆栈** + AWS DMS + 版本 11.5 的 Amazon RDS for PostgreSQL 数据库实例。 **目标架构** 下图显示了 Oracle（源）和 PostgreSQL（目标）数据库之间的数据迁移体系结构。该架构包括以下内容： + 虚拟私有云（VPC） + 可用区 + 私有子网 + Amazon RDS for Oracle 数据库 + AWS DMS 复制实例 + RDS for PostgreSQL 数据库 要加密源数据库和目标数据库的连接，必须在 Amazon RDS 和 AWS DMS 中启用 CA 和 SSL 模式。 ![数据在 RDS for Oracle 与 AWS DMS 之间以及 AWS DMS 与 RDS for PostgreSQL 之间移动。](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/images/pattern-img/7098e2a3-b456-4e14-8881-c97145aef483/images/55b50ff7-1e6a-4ff0-9bcd-2fd419d5316a.png) ## 工具 **Amazon Web Services** + [AWS Database Migration Service (AWS DMS)](https://docs.aws.amazon.com/dms/latest/userguide/Welcome.html) 可帮助您将数据存储迁移到 Amazon Web Services Cloud，或者在云和本地设置的组合之间迁移。 + [Amazon Relational Database Service (Amazon RDS) for Oracle](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/CHAP_Oracle.html) 可帮助您在 Amazon Web Services Cloud 中设置、操作和扩展 Oracle 关系数据库。 + [Amazon Relational Database Service（Amazon RDS）for PostgreSQL](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/CHAP_PostgreSQL.html) 可帮助您在 Amazon Web Services Cloud 中设置、操作和扩展PostgreSQL 关系数据库。 + [AWS Schema Conversion Tool（AWS SCT）](https://docs.aws.amazon.com/SchemaConversionTool/latest/userguide/CHAP_Welcome.html)通过自动将源数据库架构和大部分自定义代码转换为与目标数据库兼容的格式来支持异构数据库迁移。 **其他服务** + [pgAdmin](https://www.pgadmin.org/) 是一种适用于 PostgreSQL 的开源管理工具。它提供了一个图形界面，可帮助您创建、维护和使用数据库对象。 ## 最佳实践 Amazon RDS 提供新 CA 证书作为 AWS 最佳安全实践。有关新证书和支持的 AWS 区域的信息，请参阅[使用 SSL/TLS 加密与数据库实例或集群的连接](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL.html)。 如果您的 RDS 实例当前使用的是 CA 证书 `rds-ca-2019`，并且您想要升级到 `rds-ca-rsa2048-g1`，请按照[通过修改数据库实例或集群更新 CA 证书](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html#UsingWithRDS.SSL-certificate-rotation-updating)或[通过应用维护来更新 CA 证书](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html#UsingWithRDS.SSL-certificate-rotation-maintenance-update)中的说明操作。 ## 操作说明 ### 配置 Amazon RDS for Oracle 实例 | Task | 说明 | 所需技能 | | --- | --- | --- | | 创建 Oracle 数据库实例。 | 登录您的 Amazon Web Services account，打开 AWS 管理控制台，然后导航到 Amazon RDS 控制台。在控制台上，选择**创建数据库**，然后选择 **Oracle**。 | 常规 AWS、数据库管理员 | | 配置安全组。 | 配置入站和出站安全组。 | 常规 AWS | | 创建选项组。 | 在与 Amazon RDS for Oracle 数据库相同的 VPC 和安全组中创建选项组。对于**选项**，选择 **SSL**。对于**端口**，选择 **2484** （对于 SSL 连接）。 | 常规 AWS | | 配置选项设置。 | 使用以下设置：[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 常规 AWS | | 修改 Oracle 数据库实例的 RDS。 | 将 CA 证书设置为 **rds-ca-rsa2048-g1**。
在**选项组**下，附加之前创建的选项组。 | 数据库管理员、常规 AWS | | 确认 RDS for Oracle 数据库实例可用。 | 确保 Amazon RDS for Oracle 数据库实例已启动并正在运行，并且数据库架构可访问。
要连接到 RDS for Oracle DB，请从命令行使用 `sqlplus` 命令。
$ sqlplus orcl/****@myoracledb.cokmvis0v46q.us-east-1.rds.amazonaws.com:1521/ORCL
SQL*Plus: Release 12.1.0.2.0 Production on Tue Oct 15 18:11:07 2019
Copyright (c) 1982, 2016, Oracle.  All rights reserved.
Last Successful login time: Mon Dec 16 2019 23:17:31 +05:30
Connected to:
Oracle Database 12c Enterprise Edition Release 12.1.0.2.0 - 64bit Production
With the Partitioning, OLAP, Advanced Analytics and Real Application Testing options
SQL>
| 数据库管理员 | | 在 RDS for Oracle 数据库中创建对象和数据。 | 创建对象并在架构中插入数据。 | 数据库管理员 | ### 配置 Amazon RDS for PostgreSQL 实例 | Task | 说明 | 所需技能 | | --- | --- | --- | | 创建 RDS for PostgreSQL 数据库。 | 在 Amazon RDS 控制台**创建数据库**页面上，选择 **PostgreSQL** 以创建 Amazon RDS for PostgreSQL 数据库实例。 | 数据库管理员、常规 AWS | | 配置安全组。 | 配置入站和出站安全组。 | 常规 AWS | | 创建参数组。 | 如果您使用的是 PostgreSQL 版本 11.x，请创建一个参数组来设置 SSL 参数。在 PostgreSQL 版本 12 中，默认情况下启用 SSL 参数组。 | 常规 AWS | | 编辑参数。 | 将 `rds.force_ssl` 参数更改为 `1` (on)。
默认情况下，`ssl` 参数设置为 `1` (on)。通过将 `rds.force_ssl` 参数设置为 `1`，可以强制所有连接仅通过 SSL 模式进行连接。 | 常规 AWS | | 修改 RDS for PostgreSQL 数据库实例。 | 将 CA 证书设置为 **rds-ca-rsa2048-g1**。
附加默认参数组或之前创建的参数组，具体取决于您的 PostgreSQL 版本。 | 数据库管理员、常规 AWS | | 确认 RDS for PostgreSQL 数据库实例可用。 | 确保 Amazon RDS for PostgreSQL 数据库已启动并正在运行。
`psql` 命令通过命令行设置了 `sslmode` 建立 SSL 连接。
一种选择是在参数组中设置 `sslmode=1` 并使用 `psql` 连接，而不在命令中包含 `sslmode` 参数。
以下输出显示 SSL 连接已建立。
$ psql -h mypgdbinstance.cokmvis0v46q.us-east-1.rds.amazonaws.com -p 5432 "dbname=pgdb user=pguser"
Password for user pguser:
psql (11.3, server 11.5)
SSL connection (protocol: TLSv1.2, cipher: ECDHE-RSA-AES256-GCM-SHA384, bits: 256, compression: off)
Type "help" for help.
pgdb=>

第二个选项是在参数组中设置 `sslmode=1`，并在 `psql` 命令中包含 `sslmode` 参数。
以下输出显示 SSL 连接已建立。
$ psql -h mypgdbinstance.cokmvis0v46q.us-east-1.rds.amazonaws.com -p 5432 "dbname=pgdb user=pguser sslmode=require"
Password for user pguser: 
psql (11.3, server 11.5)
SSL connection (protocol: TLSv1.2, cipher: ECDHE-RSA-AES256-GCM-SHA384, bits: 256, compression: off)
Type "help" for help.
pgdb=>
| 数据库管理员 | ### 配置和运行 AWS SCT | Task | 说明 | 所需技能 | | --- | --- | --- | | 安装 AWS SCT。 | 安装最新版本的 AWS SCT 应用程序。 | 常规 AWS | | 使用 JDBC 驱动程序配置 AWS SCT。 | 下载适用于 Oracle（[ojdbc8.jar](https://download.oracle.com/otn-pub/otn_software/jdbc/233/ojdbc8.jar)）和 PostgreSQL（[postgresql-42.2.5.jar](https://jdbc.postgresql.org/download/postgresql-42.2.19.jar)）的 Java 数据库连接（JDBC）驱动程序。
要在 AWS SCT 中配置驱动程序，请依次选择**设置**、**全局设置**和**驱动程序**。 | 常规 AWS | | 创建 AWS SCT 项目。 | 使用 Oracle 作为源数据库引擎，使用 Amazon RDS for PostgreSQL 作为目标数据库引擎，创建 AWS SCT 项目和报告：[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 常规 AWS | | 验证数据库对象。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 数据库管理员、常规 AWS | ### 配置和运行 AWS DMS | Task | 说明 | 所需技能 | | --- | --- | --- | | 创建复制实例。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 常规 AWS | | 导入证书。 | 下载适用于您的 AWS 区域的[证书包（PEM）](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL.html#UsingWithRDS.SSL.CertificatesAllRegions)。
该捆绑包中包含 `rds-ca-2019` 中间证书和根证书。该捆绑包还包含 `rds-ca-rsa2048-g1`、`rds-ca-rsa4096-g1` 和 `rds-ca-ecc384-g1` 根 CA 证书。您的应用程序信任存储库只需注册根 CA 证书。 | 常规 AWS | | 创建源端点。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html)有关更多信息，请参阅[使用 Oracle 数据库作为 AWS Database Migration Service 的源](https://docs.aws.amazon.com/dms/latest/userguide/CHAP_Source.Oracle.html)。 | 常规 AWS | | 创建目标端点。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html)有关更多信息，请参阅[使用 PostgreSQL 数据库作为 AWS Database Migration Service 的目标](https://docs.aws.amazon.com/dms/latest/userguide/CHAP_Target.PostgreSQL.html)。 | 常规 AWS | | 测试端点。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 常规 AWS | | 创建迁移任务。 | 要创建用于完全加载和更改数据捕获 (CDC) 或数据验证的迁移任务，请执行以下操作：[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 常规 AWS | | 计划生产运行。 | 与应用程序所有者等利益相关者确认停机时间，以便在生产系统中运行 AWS DMS。 | 迁移主管 | | 运行迁移任务。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 常规 AWS | | 验证数据。 | 查看源 Oracle 和目标 PostgreSQL 数据库中的迁移任务结果和数据：[See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 数据库管理员 | | 停止迁移任务。 | 成功完成数据验证后，停止迁移任务。 | 常规 AWS | ### 清除资源 | Task | 说明 | 所需技能 | | --- | --- | --- | | 删除 AWS DMS 任务。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 常规 AWS | | 删除 AWS DMS 端点。 | 选择您创建的源端点和目标端点，选择**操作**，然后选择**删除**。 | 常规 AWS | | 删除 AWS DMS 复制实例。 | 选择复制实例，选择**操作**，然后选择**删除**。 | 常规 AWS | | 删除 PostgreSQL 数据库。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | 常规 AWS | | 删除 Oracle 数据库。 | 在 Amazon RDS 控制台上，选择 Oracle 数据库实例，选择**操作**，然后选择**删除**。 | 常规 AWS | ## 问题排查 | 问题 | 解决方案 | | --- | --- | | AWS SCT 源和目标测试连接失败。 | 配置 JDBC 驱动程序版本和 VPC 安全组入站规则以接受传入流量。 | | Oracle 源端点测试运行失败。 | 检查端点设置以及复制实例是否可用。 | | AWS DMS 任务满载运行失败。 | 检查源数据库和目标数据库的数据类型和大小是否匹配。 | | AWS DMS 验证迁移任务返回错误。 | [See the AWS documentation website for more details](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patterns/migrate-amazon-rds-for-oracle-to-amazon-rds-for-postgresql-in-ssl-mode-by-using-aws-dms.html) | ## 相关资源 **数据库** + [Amazon RDS for Oracle](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/CHAP_Oracle.html)  + [Amazon RDS for PostgreSQL](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/CHAP_PostgreSQL.html) **SSL DB 连接** + [ SSL/TLS 用于加密与数据库实例的连接](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL.html) + [对 RDS for Oracle 数据库实例使用 SSL](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/Oracle.Concepts.SSL.html) + [使用 SSL/TLS 保护与 RDS for PostgreSQL 的连接](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/PostgreSQL.Concepts.General.Security.html) + [下载特定 AWS 区域的证书捆绑包](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL.html#UsingWithRDS.SSL.CertificatesAllRegions) + [下载 CA-2019 根证书](https://s3.amazonaws.com/rds-downloads/rds-ca-2019-root.pem)（已于 2024 年 8 月到期） + [使用选项组](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_WorkingWithOptionGroups.html) + [向 Oracle 数据库实例添加选项](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/Appendix.Oracle.Options.html) + [Oracle 安全套接字层](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/Appendix.Oracle.Options.SSL.html) + [使用参数组](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_WorkingWithParamGroups.html) + [PostgreSQL sslmode 连接参数](https://www.postgresql.org/docs/11/libpq-connect.html#LIBPQ-CONNECT-SSLMODE) + [从 JDBC 使用 SSL](https://jdbc.postgresql.org/documentation/ssl/) + [轮换您的 SSL/TLS 证书](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html) + [通过修改数据库实例或集群来更新 CA 证书](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html#UsingWithRDS.SSL-certificate-rotation-updating) + [通过应用维护来更新您的 CA 证书](https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL-certificate-rotation.html#UsingWithRDS.SSL-certificate-rotation-maintenance-update) **AWS SCT** + [AWS Schema Conversion Tool](https://aws.amazon.com/dms/schema-conversion-tool/) + [AWS Schema Conversion Tool 用户指南](https://docs.aws.amazon.com/SchemaConversionTool/latest/userguide/CHAP_Welcome.html) + [使用 AWS SCT 用户界面](https://docs.aws.amazon.com/SchemaConversionTool/latest/userguide/CHAP_UserInterface.html) + [将 Oracle 数据库作为 AWS SCT 的源](https://docs.aws.amazon.com/SchemaConversionTool/latest/userguide/CHAP_Source.Oracle.html) **AWS DMS** + [AWS Database Migration Service](https://aws.amazon.com/dms/) + [AWS Database Migration Service 用户指南](https://docs.aws.amazon.com/dms/latest/userguide/Welcome.html) + [将 Oracle 数据库作为 AWS DMS 的源](https://docs.aws.amazon.com/dms/latest/userguide/CHAP_Source.Oracle.html) + [将 PostgreSQL 数据库作为 AWS DMS 的目标](https://docs.aws.amazon.com/dms/latest/userguide/CHAP_Target.PostgreSQL.html) + [将 SSL 与 AWS Database Migration Service 结合使用](https://docs.aws.amazon.com/dms/latest/userguide/CHAP_Security.SSL.html) + [将运行关系数据库的应用程序迁移到 AWS](https://d1.awsstatic.com/whitepapers/Migration/migrating-applications-to-aws.pdf) ## 附加信息 Amazon RDS 证书颁发机构证书 `rds-ca-2019` 已于 2024 年 8 月到期。如果您正在使用或计划使用带证书验证的 SSL 或 TLS 连接到 RDS 数据库实例或多可用区数据库集群，请考虑使用新 CA 证书之一：`rds-ca-rsa2048-g1`、`rds-ca-rsa4096-g1` 或 `rds-ca-ecc384-g1`。