Exportieren von DB-Snapshot-Daten nach Amazon S3 for Amazon RDS

1. Identifizieren Sie den zu exportierenden Snapshot.

   Verwenden Sie einen vorhandenen automatisierten oder manuellen Snapshot oder erstellen Sie einen manuellen Snapshot einer DB-Instance oder eines Multi-AZ-DB-Clusters.

2. Richten Sie den Zugriff auf den Amazon S3-Bucket ein.

   Ein Bucket ist ein Container für Amazon S3-Objekte oder -Dateien. Um die Informationen für den Zugriff auf einen Bucket bereitzustellen, führen Sie die folgenden Schritte aus:

   1. Identifizieren Sie den S3-Bucket, in den der Snapshot exportiert werden soll. Der S3-Bucket muss sich in derselben AWS Region wie der Snapshot befinden. Weitere Informationen finden Sie unter Identifizieren des Amazon S3-Buckets, in den exportiert werden soll.

   2. Erstellen Sie eine Rolle AWS Identity and Access Management (IAM), die der Snapshot-Exportaufgabe Zugriff auf den S3-Bucket gewährt. Weitere Informationen finden Sie unter Bereitstellen des Zugriffs auf einen Amazon S3 S3-Bucket mithilfe einer IAM Rolle.

3. Erstellen Sie eine symmetrische Verschlüsselung AWS KMS key für die serverseitige Verschlüsselung. Der KMS Schlüssel wird von der Snapshot-Exportaufgabe verwendet, um die AWS KMS serverseitige Verschlüsselung beim Schreiben der Exportdaten nach S3 einzurichten.

   Die KMS Schlüsselrichtlinie muss sowohl die als auch die kms:CreateGrant kms:DescribeKey Berechtigungen enthalten. Weitere Informationen zur Verwendung von KMS Schlüsseln in Amazon RDS finden Sie unterAWS KMS key Verwaltung.

   Wenn Ihre KMS Schlüsselrichtlinie eine Ablehnungsaussage enthält, stellen Sie sicher, dass Sie den AWS Service Principal ausdrücklich ausschließenexport.rds.amazonaws.com.

   Sie können einen KMS Schlüssel in Ihrem AWS Konto verwenden, oder Sie können einen kontoübergreifenden KMS Schlüssel verwenden. Weitere Informationen finden Sie unter Verwendung eines Cross-Kontos AWS KMS key für die Verschlüsselung von Amazon S3 S3-Exporten.

4. Exportieren Sie den Snapshot mit der Konsole oder dem start-export-task CLI Befehl nach Amazon S3. Weitere Informationen finden Sie unter Exportieren eines Snapshots in einen Amazon-S3-Bucket.

5. Um auf Ihre exportierten Daten im Amazon S3-Bucket zuzugreifen, siehe Hochladen, Herunterladen und Verwalten von Objekten im Amazon Simple Storage Service User Guide.

So geben Sie DB-Snapshot-Aufgaben Zugriff auf Amazon S3

1. Erstellen Sie eine IAM Richtlinie. Diese Richtlinie bietet die Berechtigungen für den Bucket und die Objekte, die den Zugriff auf Ihre Snapshot-Exportaufgabe ermöglichen Amazon S3.

   Nehmen Sie in der Richtlinie die folgenden erforderlichen Aktionen auf, um die Übertragung von Dateien von Amazon in einen S3-Bucket RDS zu ermöglichen:

   • s3:PutObject*

   • s3:GetObject*

   • s3:ListBucket

   • s3:DeleteObject*

   • s3:GetBucketLocation

   Fügen Sie in die Richtlinie die folgenden Ressourcen zur Identifizierung des S3-Buckets und der Objekte im Bucket ein. Die folgende Ressourcenliste zeigt das Format Amazon Resource Name (ARN) für den Zugriff auf Amazon S3.

   • arn:aws:s3:::amzn-s3-demo-bucket

   • arn:aws:s3:::amzn-s3-demo-bucket/*

   Weitere Informationen zum Erstellen einer IAM Richtlinie für Amazon RDS finden Sie unterErstellen und Verwenden einer IAM-Richtlinie für den IAM-Datenbankzugriff. Siehe auch Tutorial: Erstellen Sie Ihre erste vom Kunden verwaltete Richtlinie und fügen Sie sie als Anlage hinzu im IAMBenutzerhandbuch.

   Mit dem folgenden AWS CLI Befehl wird eine IAM Richtlinie ExportPolicy mit diesen Optionen erstellt. Er gewährt Zugriff auf einen Bucket mit dem Namen amzn-s3-demo-bucket.

   Anmerkung

   Nachdem Sie die Richtlinie erstellt haben, notieren Sie sich die Beschreibung ARN der Richtlinie. Sie benötigen die ARN für einen nachfolgenden Schritt, wenn Sie die Richtlinie einer IAM Rolle zuordnen.

   aws iam create-policy  --policy-name ExportPolicy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ExportPolicy",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject*",
                   "s3:ListBucket",
                   "s3:GetObject*",
                   "s3:DeleteObject*",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }'

2. Erstellen Sie eine IAM Rolle, damit Amazon diese IAM Rolle in Ihrem Namen übernehmen RDS kann, um auf Ihre Amazon S3 S3-Buckets zuzugreifen. Weitere Informationen finden Sie im Benutzerhandbuch unter Erstellen einer Rolle zur Delegierung von Berechtigungen an einen IAM IAMBenutzer.

   Das folgende Beispiel zeigt, wie der AWS CLI Befehl verwendet wird, um eine Rolle mit dem Namen rds-s3-export-role zu erstellen.

   aws iam create-role  --role-name rds-s3-export-role  --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "export.rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole"
          }
        ] 
      }'

3. Ordnen Sie die von Ihnen erstellte IAM Richtlinie der von Ihnen erstellten IAM Rolle zu.

   Mit dem folgenden AWS CLI Befehl wird die zuvor erstellte Richtlinie an die angegebene rds-s3-export-role Rolle angehängt. your-policy-arnErsetzen Sie sie durch die RichtlinieARN, die Sie in einem früheren Schritt notiert haben.

   aws iam attach-role-policy  --policy-arn your-policy-arn  --role-name rds-s3-export-role

So verwenden Sie einen kontoübergreifenden Schlüssel KMS

1. Fügen Sie dem lokalen Konto eine Schlüsselrichtlinie hinzu.

   Das folgende Beispiel gibt ExampleRole und ExampleUser im externen Konto 444455556666 Berechtigungen im lokalen Konto 123456789012.

   {
       "Sid": "Allow an external account to use this KMS key",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "arn:aws:iam::444455556666:role/ExampleRole",
               "arn:aws:iam::444455556666:user/ExampleUser"
           ]
       },
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "*"
   }

2. Fügen Sie dem externen Konto IAM Richtlinien hinzu.

   Die folgende IAM Beispielrichtlinie ermöglicht es dem Prinzipal, den KMS Schlüssel im Konto 123456789012 für kryptografische Operationen zu verwenden. Um diese Berechtigung an ExampleRole und ExampleUser zu erteilen, fügen Sie die Richtlinie zu ihnen im Konto 444455556666 an.

   {
       "Sid": "Allow use of KMS key in account 123456789012",
       "Effect": "Allow",
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
   }