Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

設定連線至 Amazon RDS for Oracle 來源的網路

本頁面說明如何設定 Amazon RDS for Oracle 來源的網路連線，以便使用資料庫遷移服務，將異質 Oracle 遷移至 PostgreSQL 適用的 Cloud SQL。

如要從 Amazon RDS for Oracle 來源遷移，您可以透過下列三種方法，設定必要的網路連線：

公開 IP 許可清單
正向 SSH 通道
私人 IP 連線。這些方法需要 Cloud VPN 或 Cloud Interconnect：
- 建議做法：使用 Private Service Connect 介面建立私人 IP 連線
- 透過虛擬私有雲對接建立私人 IP 連線

如要進一步瞭解來源資料庫網路連線，請參閱「來源網路方法總覽」。

設定 IP 許可清單連線能力

如要使用公開 IP 許可清單連線方式，請按照下列步驟操作：

在 AWS 管理主控台中執行下列步驟：
1. 確認來源 Amazon RDS 資料庫已設為公開 IP 連線。
2. 找出端點名稱和通訊埠號碼。建立連線設定檔時，您必須輸入這些值。
如要進一步瞭解如何準備 Amazon RDS for Oracle 執行個體，請參閱 Amazon RDS 說明文件中的「連線至 Oracle 資料庫執行個體」。
建立安全性群組，允許流量從資料庫遷移服務傳送至 Amazon RDS 虛擬私有雲。請參閱「建立安全性群組，提供虛擬私有雲中 DB 執行個體的存取權」。

請務必允許建立遷移工作的區域中，所有資料庫遷移服務公開 IP 位址。
在後續階段建立來源連線設定檔時，請執行下列操作：
1. 在「Define connection details」(定義連線詳細資料) 區段中，使用執行個體的端點名稱做為來源資料庫 IP。
2. 在「Define connectivity method」(定義連線方式) 部分，選取「IP allowlist」(IP 許可清單)。

設定透過正向 SSH 通道連線

如要使用安全殼層 (SSH) 通道連線至來源資料庫，請按照下列步驟操作：

啟動 Amazon EC2 執行個體，做為專用的正向 SSH 通道。請務必在來源 Amazon RDS for Oracle 所在的 Amazon VPC 中設定。

詳情請參閱 Amazon 說明文件中的「開始使用 Amazon EC2」。
連線至 EC2 執行個體，並設定 SSH 通道。步驟如下：
1. 為資料庫遷移服務建立獨立的專屬使用者帳戶，以便連線：
```
adduser TUNNEL_ACCOUNT_USERNAME
```
2. 限制資料庫遷移服務帳戶的殼層存取權，提高安全性：
```
usermod -s /usr/sbin/nologin TUNNEL_ACCOUNT_USERNAME
```
3. 決定資料庫遷移服務連線至通道時，要使用的驗證方式。
  
  您可以使用簡單的密碼，或產生 PEM 格式的安全殼層金鑰，以便在建立來源連線設定檔時，上傳至資料庫遷移服務。
  - 如要使用密碼，則無須進行任何額外設定。請記住您為 TUNNEL_ACCOUNT_USERNAME 帳戶建立的密碼。
  - 如要使用金鑰驗證，則須產生私密/公開金鑰組。舉例來說，您可以使用 ssh-keygen 公用程式：
    1. 產生金鑰組：
      ssh-keygen -m PEM -f YOUR_KEY_NAME
    2. 將公開金鑰 (YOUR_KEY_NAME.pub) 複製到通道伺服器上的 ~/.ssh/ 目錄。
    3. 儲存私密金鑰。建立來源連線設定檔時，您需要將這個檔案上傳至資料庫遷移服務。
4. 編輯 /etc/ssh/sshd_config 檔案，設定轉送 SSH 通道，以符合貴組織的需求。建議使用下列設定：
```
# Only allow the Database Migration Service user to connect.
AllowUsers TUNNEL_ACCOUNT_USERNAME

# Send keep-alive packets every 60 seconds to ensure that
# the tunnel doesn't close during the migration
ServerAliveInterval=60

# Optional: Force key-based authentication
PasswordAuthentication no

# Enables Database Migration Service to connect from a different host
PermitTunnel yes
GatewayPorts yes
```
5. 執行 ssh 指令，啟動通道。
  使用下列任何指令資料前，請先替換以下項目：
  - TUNNEL_SERVER_SSH_PORT 替換為伺服器監聽 SSH 連線的通訊埠編號。
  - SOURCE_DATABASE_PRIVATE_IP 替換為來源資料庫的私人 IP 位址。SSH 伺服器必須能連上該 IP。
  - SOURCE_DATABASE_PORT 替換為來源資料庫監聽連線的通訊埠編號。Oracle 上 TCP 連線的預設通訊埠編號為 1433。
  - USERNAME 替換為要執行通道的使用者帳戶名稱。這個帳戶與 TUNNEL_ACCOUNT_USERNAME 不同。
  - TUNNEL_SERVER_PUBLIC_IP 替換為 SSH 通道伺服器的公開 IP。
```
ssh -N -L \
TUNNEL_SERVER_SSH_PORT:SOURCE_DATABASE_PRIVATE_IP:SOURCE_DATABASE_PORT \
USERNAME@TUNNEL_SERVER_PUBLIC_IP
```
在後續階段建立來源連線設定檔時，請執行下列操作：
1. 在「Define connection details」(定義連線詳細資料) 區段中，使用執行個體的端點名稱做為來源資料庫 IP。
2. 在「Define connectivity method」(定義連線方式) 區段中，選取「Forward-SSH tunnel」(轉送 SSH 通道)。
3. 提供 SSH 伺服器的公開 IP 位址或主機名稱。
4. 提供您在通道伺服器上為 SSH 連線指定的通訊埠。
5. 輸入您為資料庫遷移服務建立的使用者名稱，以便連線 (即 TUNNEL_ACCOUNT_USERNAME 的值)。
6. 從「Authentication method」(驗證方式) 下拉式選單中，選取要與 TUNNEL_ACCOUNT_USERNAME 搭配使用的驗證方式：
  - 如要使用使用者密碼，請選取「Password」(密碼)，然後在表單中輸入 TUNNEL_ACCOUNT_USERNAME 密碼。
  - 如果您將 SSH 伺服器設為使用金鑰型驗證，請選取「Private/Public key pair」，然後上傳使用 ssh-keygen 指令產生的私密金鑰。

使用 Private Service Connect 介面設定私人連線

這個連線方式可讓您連線至來源資料庫的私人 IP，而不會耗用虛擬私有雲對等互連配額。建議使用 Private Service Connect 介面建立私人 IP 連線。

如要使用這個方法，您必須在要建立網路連結的虛擬私有雲網路中，設定 Cloud VPN 或 Cloud Interconnect。如果無法在 Cloud VPN 或 Cloud Interconnect 所在的虛擬私有雲網路中建立網路連結，您也需要在 Compute Engine 上建立反向 Proxy 虛擬機器 (VM)，才能建立連線。

如果無法使用 Cloud VPN 或 Cloud Interconnect，建議改用轉送 SSH 通道或 IP 許可清單連線方法。

如要取得設定 Private Service Connect 介面所需的權限，請要求管理員在專案中，為參與遷移程序的下列帳戶授予必要 IAM 角色

執行遷移作業的使用者帳戶：
- 如要建立及管理網路連結： Compute 網路管理員 (roles/compute.networkAdmin)
- 如要建立及管理私人連線設定：資料庫遷移管理員 (roles/datamigration.admin)
如要在資料庫遷移服務以外的專案中建立網路連結或其基礎子網路 (例如使用 Shared VPC 主專案)，則須將下列角色授予資料庫遷移服務帳戶 (service-PROJECT_NUMBER@gcp-sa-datamigration.iam.gserviceaccount.com)： Compute 網路檢視者 (roles/compute.networkViewer)

如要進一步瞭解如何授予角色，請參閱「管理存取權」。

這些預先定義的角色具備必要權限，可透過資料庫遷移服務執行同質 SQL Server 遷移作業。如要查看確切的必要權限，請展開「Required permissions」(必要權限) 部分：

所需權限

如要使用資料庫遷移服務執行同質 SQL Server 遷移作業，必須具備下列權限：

執行遷移作業的使用者帳戶：
- datamigration.*
- compute.networkAttachments.create
- compute.networkAttachments.get
- compute.networkAttachments.list
- compute.networkAttachments.update
- compute.networkAttachments.delete
資料庫遷移服務服務帳戶：
- compute.networkAttachments.get
- compute.networkAttachments.update
- compute.subnetworks.get
- compute.subnetworks.list

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

如要使用 Private Service Connect 介面連線，請按照下列步驟操作：

透過 Cloud VPN 設定與 Amazon RDS for PostgreSQL 執行個體的直接連線。

詳情請參閱 Cloud VPN 說明文件中的「在 Google Cloud 與 AWS 之間建立高可用性 VPN 連線」。
選用：如果無法在 Cloud VPN 所在的虛擬私有雲網路中建立網路連結，請在 Compute Engine 上建立反向 Proxy 虛擬機器 (VM)，以便在虛擬私有雲之間轉送連線。
在 Cloud VPN 所在的虛擬私有雲中建立網路連結。步驟如下：
1. 前往 Google Cloud 控制台的「Network attachments」(網路連結) 頁面。
  前往「Network attachments」(網路連結)
2. 按一下「Create network attachment」(建立網路連結)。
3. 輸入附件名稱。
4. 在「Network」(網路) 選單中，選取來源所在的虛擬私有雲。
5. 區域：請使用您打算建立目的地資料庫的區域。
  
  資料庫遷移服務是完全區域性的產品，也就是說，與遷移作業相關的所有實體 (來源和目的地連線設定檔、遷移工作、目的地資料庫、轉換工作區) 都必須儲存在單一區域中。
6. 在「Subnetwork」(子網路) 選單中，選取至少有 6 個可用 IP 位址的子網路，供資料庫遷移服務使用 (即 /29 範圍)。
7. 在「Connection preference」(連線偏好設定) 中，選取「Accept connections for selected projects」(接受所選專案的連線)。
  
  當您稍後建立私人連線設定時，資料庫遷移服務會自動將生產端專案新增至「Accepted projects」(接受的專案) 清單。
  
  注意：「Automatically accept connections for all projects」(自動接受所有專案的連線) 選項的安全性較低，因為任何服務都能從您的子網路取得 IP 位址。我們不建議使用這個選項。
8. 請勿新增「已接受專案」或「遭拒專案」。
9. 按一下「Create network attachment」(建立網路連結)。
在資料庫遷移服務中，為 Private Service Connect 介面建立私人連線設定。
在後續階段建立來源連線設定檔時，請執行下列操作：
1. 在「Define connection details」(定義連線詳細資料) 區段中，輸入來源 Amazon RDS 執行個體的私人 IP。
2. 在「Define connectivity method」(定義連線方式) 專區中，選取「Private connectivity」(私人連線)。
3. 在下拉式選單中，選取您在上一個步驟中建立的私人連線設定。

透過虛擬私有雲對等互連設定私人連線

如要搭配 Amazon RDS for Oracle 來源使用私人連線，您必須在要為資料庫遷移服務建立私人連線設定的虛擬私有雲網路中，設定 Cloud VPN 或 Cloud Interconnect。如果無法在 Cloud VPN 或 Cloud Interconnect 所在的虛擬私有雲網路中建立私人連線設定，則還需要在 Compute Engine 上建立反向 Proxy 虛擬機器 (VM)，才能建立連線。