在 AWS 中准备你的 BYOC 环境
在开始 BYOC 部署之前，请先在你的 AWS 环境中准备所需的基础设施组件。请按顺序完成以下步骤。
Step 1. 获取 TiDB Cloud Organization ID
这是你的组织在 TiDB Cloud 中的唯一标识符。
如果你还没有 TiDB Cloud 账户，请点击这里注册。你可以使用电子邮件和密码注册以管理 TiDB Cloud 凭证，也可以通过 Google、GitHub 或 Microsoft 账户使用单点登录（SSO）。
在左侧导航栏中，点击你的个人资料图标 > Organization Settings。
在 Organization Information 下，复制 Organization ID 并保存，供后续使用。
Step 2. 准备 AWS 账户
我们强烈建议你为 BYOC 环境使用一个专用 AWS 账户，以确保隔离、简化合规性管理并实现准确的成本管理。
- Account ID：确保你已准备好 12 位 AWS Account ID。
- Permissions：确保你拥有 AdministratorAccess 或等效权限，以配置 IAM 角色和 Route 53。
Step 3. 选择 Region 和可用区（AZ）
TiDB 是一个分布式数据库，需要特定的基础设施来实现高可用。
Region：选择要部署数据库的 AWS Region。
可用区（AZ）：根据你的部署目标，选择以下配置之一：
选项 A：生产环境（Multi-AZ）。你必须在所选 Region 中确定至少 3 个 AZ。例如：
us-west-2a、us-west-2b、us-west-2c。选项 B：概念验证 / 成本优化（Single-AZ）。精确选择 1 个 AZ。例如：
us-west-2a。
为 BYOC Region 准备的可用区决定了 TiDB Cloud 放置资源池的位置。创建资源池时，你可以选择 Zonal 或 Regional 高可用。Zonal 资源池部署在一个可用区中。Regional 资源池要求该 Region 中至少有三个符合条件的可用区。
如果某个 BYOC Region 最初只准备了一个可用区，TiDB Cloud 会将该可用区用于 Zonal 资源池。只有在另外两个符合条件的可用区可用时，你才能创建 Regional 资源池。如果你计划使用 Regional 资源池，请在环境准备阶段确认该 Region 至少提供三个符合条件的可用区。
Step 4. 为 TiDB 创建 hosted zone
为 TiDB 服务 DNS 创建一个 Amazon Route 53 hosted zone。你无需为可观测性（O11Y）提供 hosted zone。
选择以下 hosted zone 类型之一：
- Public hosted zone：支持到 TiDB 的公网和私网连接。请参考 Creating a public hosted zone in AWS documentation。
- Private hosted zone：仅支持私网连接。如果你选择 private hosted zone，则 BYOC 环境将无法使用公网连接。请参考 Working with private hosted zones。
对于 TiDB hosted zone，请使用长度不超过 38 个字符的名称。例如：byoc.cluster.example.com。
对于 public hosted zone，请通过将 Route 53 name server（NS）记录添加到父域 DNS 配置中，从其父域委派该 zone。对于 private hosted zone，请将该 hosted zone 关联到需要 DNS 解析的 VPC。
Step 5. 设置私有证书颁发机构（PCA）
TiDB Cloud 使用 AWS private certificate authority（PCA）服务签发证书，并使用 AWS Certificate Manager（ACM）服务管理数字证书，以通过 mTLS 确保内部数据库集群组件之间的安全通信。
为满足合规要求，TiDB Cloud BYOC 集成了客户提供的 PCA，使用你企业自己的域名为数据节点签发身份证书。这可确保所有加密通信的信任根（Root of Trust）始终严格由你的组织控制。
因此，你必须在部署 Region 中准备一个有效的 subordinate CA。你提供给 TiDB Cloud 的 CA ARN 必须是 subordinate CA 的 ARN。要创建并激活 subordinate CA，你需要一个处于活动状态的 root CA 来为其证书签名。
subordinate CA 证书的有效期必须至少为 20 年。请确保用于签署 subordinate CA 证书的 root CA 支持该有效期。
请执行以下步骤：
创建 subordinate CA。请参考 Create a private CA in AWS Private CA。
配置：选择 Subordinate CA 作为 CA 类型。不要向 TiDB Cloud 提供 root CA ARN。
安装 subordinate CA 证书。请参考 Installing the CA certificate。
记录 ARN。复制 Subordinate CA ARN。
示例：
arn:aws:acm-pca:us-west-2:123456789012:ca/abcd-1234...在 AWS 控制台中验证 PCA 信息。
Step 6. 规划网络 CIDR 范围
在开始 BYOC 部署之前，请为可观测性（O11Y）基础设施和资源池规划专用私有 CIDR 范围。请使用 /16 到 /22 之间的前缀长度。
每个 BYOC 部署 Region 都有一个 O11Y CIDR。资源池 CIDR 会在你创建每个资源池时分别配置。请在部署前规划这些 CIDR 范围，以便能够在没有网络冲突的情况下配置 BYOC 环境和未来的资源池。
请准备以下信息：
CIDR 规划规则与约束
规划 CIDR 范围时，请确保遵循以下连接规则：
内部隔离：在同一 Region 中，资源池 CIDR 不得与 O11Y CIDR 重叠，也不得彼此重叠。
VPC peering 规则：
- 不能重叠：O11Y CIDR 和任何资源池 CIDR 都不得与你现有的应用 VPC、本地网络或 VPN 网络重叠。
- 客户责任：TiDB Cloud 无法检测与客户自主管理网络的冲突。你有责任在部署前或创建资源池前规划并验证这些 CIDR 范围。
跨 Region CIDR 规划：不同 Region 中的资源池 CIDR 可以重叠。但是，对于需要跨 Region 连接或复制的资源池，请使用不重叠的 CIDR。
跨资源池复制（关键）：如果你计划部署多个资源池，并且可能需要在不同资源池中的实例之间复制数据（例如，使用 TiCDC 进行容灾或数据整合），则它们各自的资源池 CIDR 范围不得重叠。
在自动化 Region 部署开始之前，请将规划好的 CIDR 范围提供给你的 TiDB Cloud 代表。
总结：所需信息
请将上面步骤中收集到的信息填写到下表中，并分享给你的 TiDB Cloud 代表，以启动部署。
所需信息：
检查并提高 AWS 服务配额
AWS 服务配额要求因客户环境而异。所需的配额值取决于多种因素，例如你的工作负载规模、目标容量、所选 AWS Region、可用性模式以及预期扩缩容范围。
在环境准备期间，请与 TiDB Cloud 支持团队或你的 TiDB Cloud 代表一起计算部署所需的配额值。如果你当前的 AWS 服务配额低于计算出的要求，请在自动化 Region 部署开始之前申请提高配额。
需要检查的配额类别
请在每个目标 AWS Region 中检查以下配额类别：
- Amazon EC2 quotas：与基于 vCPU 的实例使用量以及部署所需实例族相关的配额值。
- Amazon EBS quotas：与部署所需存储类型和卷容量相关的配额值。
- Amazon EKS and scaling-related quotas：影响 EKS 集群和节点扩缩容能力的配额值，包括 EC2 容量、Auto Scaling Group 限制以及 EKS managed node group 限制。
如何申请提高配额
- 登录 AWS Management Console。
- 进入 Service Quotas。
- 搜索相关服务：Amazon EC2、Amazon EBS 和 Amazon EKS。
- 选择所需配额。
- 点击 Request quota increase。
- 输入目标值并提交请求。
下一步
在你准备好 AWS 环境并将所需信息分享给 TiDB Cloud 代表后，请继续阅读 TiDB Cloud BYOC IAM Configuration，配置自动化 Region 部署所需的 IAM 权限。