Como criar uma base de dados RDS (MySQL) e ligar o seu site sem a deixar aberta à internet

O Amazon RDS é a base de dados "que a Amazon mantém": você escolhe o motor e o tamanho e eles ocupam-se de instalar, atualizar, copiar e vigiar. É o passo natural quando um site cresce ou quando quer que a base de dados não viva na mesma máquina que o site. O formulário tem muitas opções e uma armadilha: a caixa de acesso público. Se a marcar, a base de dados fica exposta à internet; se não a marcar e não fizer o resto bem, o site não se liga e não sabe porquê. Este guia percorre o caminho correto.

Passo a passo

1. Prepare o grupo de segurança da base de dados

   Antes do formulário, no EC2, Security Groups, Create: nome bd-interna, uma regra de entrada do tipo MYSQL/Aurora (porta 3306) com origem o grupo de segurança da sua máquina web (escolha o grupo na lista em vez de um IP). Assim, só as máquinas que tenham esse grupo poderão ligar-se. Se preferir, no formulário do RDS há um atalho que faz isto por si ("Connect to an EC2 compute resource"), mas saber fazê-lo à mão será útil mais tarde.

2. Abra o formulário do RDS

   Consola do RDS, mesma região que a sua máquina, Create database. Escolha Standard create (a fácil esconde a caixa de acesso público), motor MySQL, a versão recomendada. Nos modelos, Free tier se a sua conta o tiver e for para testar, ou Dev/Test para um site pequeno; Production ativa o Multi-AZ e custa mais.

3. Nome, utilizador e tamanho

   Identificador bd-web. Utilizador principal admin ou um seu; palavra-passe: deixe que a gira o AWS Secrets Manager se não se importar com um pequeno custo, ou defina uma sua, longa, e guarde-a num gestor de palavras-passe. Classe de instância: a mais pequena da família t (db.t4g.micro ou db.t3.micro) para começar; muda-se depois. Armazenamento gp3, 20 GB, com escalamento automático ativado e um limite razoável (por exemplo 100 GB) para que não encha.

4. Conectividade: a parte que importa

   Em Connectivity: recurso de computação Don't connect (faz isso com o grupo de segurança), a VPC predefinida, Public access: No. No grupo de segurança, Choose existing e selecione bd-interna; retire o default. Deixe a porta 3306. Mais abaixo, em Additional configuration, escreva um nome de base de dados inicial (tienda) para não ter de a criar à mão, deixe ativadas as cópias automáticas com 7 dias e uma janela de madrugada, e ative a encriptação. Crie. Demora uns 5 a 10 minutos.

5. Teste a ligação a partir da máquina web

   Quando o estado for "Available", abra a base de dados e copie o ponto final do separador Connectivity. Entre por SSH na sua máquina web e teste:

   mysql -h tu-endpoint.eu-west-1.rds.amazonaws.com -u admin -p tienda

   Se entrar, está tudo bem. Se ficar pendurado sem responder, é o grupo de segurança (passo 1); se disser "Access denied", é o utilizador ou a palavra-passe.

6. Ligue o site e faça uma cópia

   Na configuração da sua aplicação mude o servidor para esse ponto final, com o utilizador e a palavra-passe. Se trouxer dados de outra base, exporte-os com mysqldump e importe-os com mysql como em qualquer migração. Quando funcionar, faça um instantâneo manual a partir do RDS: o seu primeiro ponto de retorno seguro. As cópias automáticas continuarão todos os dias.

O que pode correr mal