Clonación entre cuentas con AWS RAM y Amazon Aurora

Para conceder permisos para clonar su clúster

1. Inicie sesión en la AWS Management Console y abra la consola de Amazon RDS en https://console.aws.amazon.com/rds/.

2. En el panel de navegación, seleccione Databases (Bases de datos).

3. Elija el clúster de base de datos que quiera compartir para ver su página Details (Detalles) y elija la pestaña Connectivity & security (Conectividad y seguridad).

4. En la sección Share DB cluster with other accounts (Compartir clúster de base de datos con otras cuentas de AWS), ingrese el ID numérico de la cuenta para la cuenta de AWS que quiera permitir clonar este clúster. Para los ID de cuenta en la misma organización, puede comenzar a escribir en el cuadro y luego elegir en el menú.

   importante

   En algunos casos, es posible que desee una cuenta que no esté en la misma organización de AWS que su cuenta para clonar un clúster. En estos casos, por razones de seguridad la consola no notifica el propietario de ese ID de cuenta o si existe la cuenta.

   Tenga cuidado de introducir números de cuenta que no estén en la misma organización de AWS que su cuenta de AWS. Verifique inmediatamente que ha compartido con la cuenta pretendida.

5. En la página de confirmación, verifique que el ID de cuenta que ha especificado sea correcto. Introduzca share en el cuadro de confirmación para confirmar.

   En la página Details (Detalles), aparece una entrada que muestra el ID de cuenta de AWS especificado en Accounts that this DB cluster is shared with (Cuentas con las que se comparte este clúster de base de datos). La columna Status (Estado) inicialmente muestra el estado Pending (Pendiente).

6. Póngase en contacto con el propietario de la otra cuenta de AWS o inicie sesión en dicha cuenta si es propietario de ambas. Pida al propietario de la otra cuenta que acepte la invitación de uso compartido y clone el clúster de base de datos, como se describe a continuación.

Para conceder permisos para clonar su clúster

1. Recopile la información de los parámetros requeridos. Necesita el ARN de su clúster y el ID numérico de la otra cuenta de AWS.

2. Ejecute el comando AWS RAM de la CLI create-resource-share.

   Para Linux, macOS o Unix:

   aws ram create-resource-share --name descriptive_name \
     --region region \
     --resource-arns cluster_arn \
     --principals other_account_ids
   

   En Windows:

   aws ram create-resource-share --name descriptive_name ^
     --region region ^
     --resource-arns cluster_arn ^
     --principals other_account_ids
   

   Para incluir varios ID de cuenta para el parámetro --principals, separe los ID entre sí con espacios. Para especificar si los ID de cuenta permitidos pueden estar fuera de la organización de AWS, incluya el parámetro --allow-external-principals o --no-allow-external-principals para create-resource-share.

Para conceder permisos para clonar su clúster

1. Recopile la información de los parámetros requeridos. Necesita el ARN de su clúster y el ID numérico de la otra cuenta de AWS.

2. Llame a la operación CreateResourceShare de la API de AWS RAM y especifique los siguientes valores:

   • Especifique los ID de cuenta de una o más cuentas de AWS en el parámetro principals.

   • Especifique los ARN de uno o más clústeres de base de datos de Aurora en el parámetro resourceArns.

   • Especifique si los ID de cuenta permitidos pueden estar fuera de la organización de AWS o no, incluyendo un valor booleano para el parámetro allowExternalPrincipals.

Para descubrir si un clúster de su propiedad se comparte con otras cuentas de AWS

• Llame al comando list-principals de la CLI de AWS RAM mediante su ID de cuenta como el propietario del recurso y el ARN de su clúster como el ARN del recurso. Puede ver todas las unidades compartidas con el siguiente comando. Los resultados indican qué cuentas de AWS tienen permiso para clonar el clúster.

  aws ram list-principals \
      --resource-arns your_cluster_arn \
      --principals your_aws_id
  

Para descubrir si un clúster de su propiedad se comparte con otras cuentas de AWS

• Llame a la operación ListPrincipals de la API de AWS RAM. Utilice su ID de cuenta como el propietario del recurso y el ARN de su clúster como el ARN del recurso.

Para ver invitaciones para clonar clústeres propiedad de otras cuentas de AWS

1. Ejecute el comando AWS RAM de la CLI get-resource-share-invitations.

   aws ram get-resource-share-invitations --region region_name
   

   Los resultados del comando anterior muestran todas las invitaciones para clonar clústeres, incluidas las que ya haya aceptado o rechazado.

2. (Opcional) Filtre la lista de forma que vea solo las invitaciones que requieren una acción por su parte. Para hacerlo, añada el parámetro --query 'resourceShareInvitations[?status==`PENDING`]'.

Para ver invitaciones para clonar clústeres propiedad de otras cuentas de AWS

1. Llame a la operación GetResourceShareInvitations de la API de AWS RAM. Esta operación devuelve estas invitaciones, incluidas las que ya haya aceptado o rechazado.

2. (Opcional) Busque solo invitaciones que requieran de una acción por su parte comprobando que el campo de devolución resourceShareAssociations tenga un valor de status de PENDING.

Para aceptar una invitación para compartir un clúster desde otra cuenta de AWS

1. Busque el ARN de la invitación ejecutando el comando get-resource-share-invitations de la CLI de AWS RAM, como se ha mostrado anteriormente.

2. Acepte la invitación llamando al comando accept-resource-share-invitation de la CLI de AWS RAM, como se muestra a continuación.

   Para Linux, macOS o Unix:

   aws ram accept-resource-share-invitation \
     --resource-share-invitation-arn invitation_arn \
     --region region
   

   En Windows:

   aws ram accept-resource-share-invitation ^
     --resource-share-invitation-arn invitation_arn ^
     --region region
   

Para aceptar invitaciones para compartir el clúster de alguien

1. Busque el ARN de la invitación llamando a la operación GetResourceShareInvitations de la API AWS RAM, como se ha mostrado anteriormente.

2. Pase ese ARN como el parámetro resourceShareInvitationArn a la operación AcceptResourceShareInvitation de la API de RDS.

Para clonar un clúster de Aurora que es propiedad de otra cuenta de AWS

1. Inicie sesión en la AWS Management Console y abra la consola de Amazon RDS en https://console.aws.amazon.com/rds/.

2. En el panel de navegación, seleccione Databases (Bases de datos).

   En la parte superior de la lista de bases de datos, debe ver uno o más elementos con un valor de Role (Role) de Shared from account #account_id. Por razones de seguridad, solo puede ver información limitada sobre los clústeres originales. Las propiedades que puede ver son las de motor de base de datos y versión que deben ser las mismas en su clúster clonado.

3. Elija el clúster que pretende clonar.

4. En Actions (Acciones), elija Create alias (Crear alias).

5. Siga el procedimiento de Consola para finalizar la configuración del clúster clonado.

6. Según sea necesario, habilite el cifrado del clúster clonado. Si el clúster que esté clonando está cifrado, debe habilitar el cifrado del clúster clonado. La cuenta de AWS que compartió el clúster con usted también debe compartir la clave de KMS que se utilizó para cifrar el clúster. Puede utilizar la misma clave de KMS para cifrar el clon, o bien puede utilizar su propia clave de KMS. No puede crear un clon entre cuentas para un clúster que esté cifrado con la clave de KMS predeterminada.

   La cuenta que posee la clave de cifrado debe conceder permiso a la cuenta de destino para utilizar la clave mediante una política de claves. Este proceso es similar al utilizado para compartir las instantáneas cifradas, utilizando una política de claves que otorga permiso a la cuenta de destino para utilizar la clave.

Para clonar un clúster de Aurora que es propiedad de otra cuenta de AWS

1. Acepte la invitación de otra cuenta de AWS propiedad del clúster de base de datos, como se ha mostrado anteriormente.

2. Clone el clúster especificando el ARN completo del clúster de origen en el parámetro source-db-cluster-identifier del comando restore-db-cluster-to-point-in-time de la CLI de RDS, como se muestra a continuación.

   Si el ARN pasado como el source-db-cluster-identifier no se ha compartido, se devuelve el mismo error que si no existiera el clúster especificado.

   Para Linux, macOS o Unix:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time
   

   En Windows:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time
   

3. Si el clúster que está clonando está cifrado, cifre su clúster clonado incluyendo un parámetro kms-key-id. Este valor kms-key-id puede ser el mismo que el utilizado para cifrar el clúster de base de datos original o su propia clave de KMS. Su cuenta debe tener permiso para utilizar dicha clave de cifrado.

   Para Linux, macOS o Unix:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time \
     --kms-key-id=arn:aws:kms:arn_details
   

   En Windows:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time ^
     --kms-key-id=arn:aws:kms:arn_details
   

   La cuenta que posee la clave de cifrado debe conceder permiso a la cuenta de destino para utilizar la clave mediante una política de claves. Este proceso es similar al utilizado para compartir las instantáneas cifradas, utilizando una política de claves que otorga permiso a la cuenta de destino para utilizar la clave. A continuación se incluye una política de claves.

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

Para clonar un clúster de Aurora que es propiedad de otra cuenta de AWS

1. Acepte la invitación de otra cuenta de AWS propiedad del clúster de base de datos, como se ha mostrado anteriormente.

2. Clone el clúster especificando el ARN completo del clúster de origen en el parámetro SourceDBClusterIdentifier de la operación RestoreDBClusterToPointInTime de la API de RDS.

   Si el ARN pasado como el SourceDBClusterIdentifier no se ha compartido, se devuelve el mismo error que se el clúster especificado no exista.

3. Si el clúster que está clonando está cifrado, incluya un parámetro KmsKeyId para cifrar el clúster clonado. Este valor kms-key-id puede ser el mismo que el utilizado para cifrar el clúster de base de datos original o su propia clave de KMS. Su cuenta debe tener permiso para utilizar dicha clave de cifrado.

   Al clonar un volumen, la cuenta de destino debe tener permiso para utilizar la clave de cifrado utilizada para cifrar el clúster de origen. Aurora cifra el nuevo clúster clonado con la clave de cifrado especificada en KmsKeyId.

   La cuenta que posee la clave de cifrado debe conceder permiso a la cuenta de destino para utilizar la clave mediante una política de claves. Este proceso es similar al utilizado para compartir las instantáneas cifradas, utilizando una política de claves que otorga permiso a la cuenta de destino para utilizar la clave. A continuación se incluye una política de claves.

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

Verificar si un clúster de base de datos es un clon entre cuentas

• Llame al comando de CLI de RDS describe-db-clusters.

  El siguiente ejemplo muestra cómo los clústeres de base de datos de clonación entre cuentas reales o potenciales aparece en la salida de describe-db-clusters. Para clústeres existentes propiedad de su cuenta de AWS, el campo CrossAccountClone indica si el clúster es un clon de un clúster de base de datos propiedad de otra cuenta de AWS.

  En algunos casos, una entrada podría tener un número de cuenta de AWS diferente al suyo en el campo DBClusterArn. En este caso, dicha entrada representa un clúster propiedad de una cuenta de AWS diferente y que se puede clonar. Dichas entradas tienen pocos cambios aparte de DBClusterArn. Al crear el clúster clonado, especifique los mismos valores de StorageEncrypted, Engine y EngineVersion que el clúster original.

  $aws rds describe-db-clusters --include-shared --region us-east-1
  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0
    ]
  }
  

Verificar si un clúster de base de datos es un clon entre cuentas

• Llame a la operación DescribeDBClusters de la API de RDS.

  Para clústeres existentes propiedad de su cuenta de AWS, el campo CrossAccountClone indica si el clúster es un clon de un clúster de base de datos propiedad de otra cuenta de AWS. Las entradas con un número de cuenta de AWS diferente en el campo DBClusterArn representan clústeres que puede clonar y que son propiedad de otras cuentas de AWS. Estas entradas tienen pocos cambios aparte de DBClusterArn. Al crear el clúster clonado, especifique los mismos valores de StorageEncrypted, Engine y EngineVersion que el clúster original.

  El siguiente ejemplo muestra un valor de devolución que demuestra los clústeres clonados tanto reales como potenciales.

  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0"
        }
    ]
  }