Exportation de données instantanées de base de données vers Amazon S3 pour Amazon RDS

1. Identifiez l'instantané à exporter.

   Utilisez un instantané automatique ou manuel existant, ou créez un instantané manuel d'une instance de base de données ou d'un cluster de base de données multi-AZ.

2. Configurez l'accès au compartiment Amazon S3.

   Un compartiment est un conteneur d'objets ou de fichiers Amazon S3. Pour fournir les informations permettant d'accéder à un compartiment, procédez comme suit :

   1. Identifiez le compartiment S3 vers lequel l'instantané doit être exporté. Le compartiment S3 doit se trouver dans la même AWS région que le snapshot. Pour de plus amples informations, veuillez consulter Identification du compartiment Amazon S3 pour l'exportation.

   2. Créez un rôle AWS Identity and Access Management (IAM) qui accorde à la tâche d'exportation des instantanés l'accès au compartiment S3. Pour de plus amples informations, veuillez consulter Fournir un accès à un compartiment Amazon S3 à l'aide d'un IAM rôle.

3. Créez un chiffrement symétrique AWS KMS key pour le chiffrement côté serveur. La KMS clé est utilisée par la tâche d'exportation des instantanés pour configurer le chiffrement AWS KMS côté serveur lors de l'écriture des données d'exportation dans S3.

   La politique KMS clé doit inclure à la fois les kms:DescribeKey autorisations kms:CreateGrant et. Pour plus d'informations sur l'utilisation KMS des clés sur AmazonRDS, consultezAWS KMS key gestion.

   Si votre politique KMS clé contient une déclaration de refus, assurez-vous d'exclure explicitement le principal du AWS serviceexport.rds.amazonaws.com.

   Vous pouvez utiliser une KMS clé dans votre AWS compte, ou vous pouvez utiliser une KMS clé inter-comptes. Pour de plus amples informations, veuillez consulter Utilisation d'un compte croisé AWS KMS key pour chiffrer les exportations Amazon S3.

4. Exportez le snapshot vers Amazon S3 à l'aide de la console ou de la start-export-task CLI commande. Pour de plus amples informations, veuillez consulter Exportation d'un instantané de base de données vers un compartiment Amazon S3.

5. Pour accéder aux données exportées dans le compartiment Amazon S3, consultez Chargement, téléchargement et gestion d'objets dans le Guide de l'utilisateur Amazon Simple Storage Service.

Pour accorder aux tâches d'instantané de base de données l'accès à Amazon S3

1. Créez une stratégie IAM. Cette politique fournit les autorisations d'accès au compartiment et aux objets qui permettent à votre tâche d'exportation d'instantané d'accéder à Amazon S3.

   Dans la politique, incluez les actions obligatoires suivantes pour autoriser le transfert de fichiers d'Amazon RDS vers un compartiment S3 :

   • s3:PutObject*

   • s3:GetObject*

   • s3:ListBucket

   • s3:DeleteObject*

   • s3:GetBucketLocation

   Dans la politique, incluez les ressources suivantes pour identifier le compartiment S3 et les objets qu'il contient. La liste de ressources suivante indique le format Amazon Resource Name (ARN) pour accéder à Amazon S3.

   • arn:aws:s3:::amzn-s3-demo-bucket

   • arn:aws:s3:::amzn-s3-demo-bucket/*

   Pour plus d'informations sur la création d'une IAM politique pour AmazonRDS, consultezCréation et utilisation d'une politique IAM pour l'accès à une base de données IAM. Consultez également le didacticiel : créez et joignez votre première politique gérée par le client dans le guide de IAM l'utilisateur.

   La AWS CLI commande suivante crée une IAM politique nommée ExportPolicy avec ces options. Elle accorde un accès à un compartiment nommé amzn-s3-demo-bucket.

   Note

   Après avoir créé la stratégie, notez celle ARN de la stratégie. Vous en aurez besoin ARN pour une étape ultérieure lorsque vous associerez la politique à un IAM rôle.

   aws iam create-policy  --policy-name ExportPolicy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ExportPolicy",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject*",
                   "s3:ListBucket",
                   "s3:GetObject*",
                   "s3:DeleteObject*",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }'

2. Créez un IAM rôle afin qu'Amazon RDS puisse assumer ce IAM rôle en votre nom pour accéder à vos compartiments Amazon S3. Pour plus d'informations, consultez la section Création d'un rôle pour déléguer des autorisations à un IAM utilisateur dans le Guide de IAM l'utilisateur.

   L'exemple suivant montre comment utiliser la AWS CLI commande pour créer un rôle nommérds-s3-export-role.

   aws iam create-role  --role-name rds-s3-export-role  --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "export.rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole"
          }
        ] 
      }'

3. Attachez la stratégie IAM que vous avez créée au rôle IAM que vous venez de créer.

   La AWS CLI commande suivante associe la politique créée précédemment au rôle nommérds-s3-export-role. your-policy-arnRemplacez-la par la politique ARN que vous avez indiquée lors d'une étape précédente.

   aws iam attach-role-policy  --policy-arn your-policy-arn  --role-name rds-s3-export-role

Pour utiliser une clé multi-comptes KMS

1. Ajoutez une politique de clé au compte local.

   L'exemple suivant accorde ExampleRole et ExampleUser dans les autorisations 444455556666 du compte externe dans le compte local 123456789012.

   {
       "Sid": "Allow an external account to use this KMS key",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "arn:aws:iam::444455556666:role/ExampleRole",
               "arn:aws:iam::444455556666:user/ExampleUser"
           ]
       },
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "*"
   }

2. Ajoutez IAM des politiques au compte externe.

   L'exemple de IAM politique suivant permet au principal d'utiliser la KMS clé du compte 123456789012 pour des opérations cryptographiques. Pour accorder cette autorisation aux ExampleRole et ExampleUser du compte 444455556666, attachez-leur la politique dans ce compte.

   {
       "Sid": "Allow use of KMS key in account 123456789012",
       "Effect": "Allow",
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
   }