Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Partage d'un instantané de cluster de bases de données

Neptune vous permet de partager un instantané de cluster de bases de données manuel de différentes façons :

Pour plus d'informations sur la restauration d'un cluster de base de données à partir d'un instantané de cluster de base de données, consultez Comment effectuer une restauration à partir d'un instantané.

Vous pouvez partager un instantané manuel avec 20 autres comptes AWS maximum. Vous pouvez également partager un instantané manuel non chiffré marqué comme public ; il est ainsi accessible à tous les comptes AWS. Lors du partage d'un instantané marqué comme public, n'incluez aucune information privée dans vos instantanés publics.

Partage d'un instantané de cluster de base de données chiffré

Vous pouvez partager des instantanés de cluster de base de données qui ont été chiffrés « au repos » en utilisant l'algorithme de chiffrement AES-256. Pour plus d'informations, consultez Chiffrement des données au repos dans votre base de données Amazon Neptune. Pour ce faire, vous devez exécuter les étapes suivantes :

Ces restrictions s'appliquent au partage d'instantanés chiffrés :

Autorisation de l'accès à une clé de chiffrement AWS KMS

Pour qu'un autre compte AWS copie un instantané de cluster de bases de données chiffré partagé depuis votre compte, le compte avec lequel vous partagez l'instantané doit avoir accès à la clé KMS qui a chiffré l'instantané. Pour autoriser un autre compte AWS à accéder à une clé AWS KMS, mettez à jour la stratégie de clé pour la clé KMS avec l'ARN du compte AWS avec lequel vous partagez la clé en tant que Principal dans la stratégie de clé KMS. Autorisez ensuite l'action kms:CreateGrant. Pour obtenir des instructions générales, consultez Autoriser des utilisateurs d'autres comptes à utiliser une clé KMS dans le Guide du développeur AWS Key Management Service.

Une fois que vous avez donné à un compte AWS l'accès à votre clé de chiffrement KMS, ce compte AWS doit créer un utilisateur IAM s'il n'en possède pas déjà un pour copier votre instantané chiffré. Dans ce cas, les restrictions de sécurité KMS n'autorisent pas l'utilisation d'une identité de compte AWS racine. Le compte AWS doit également attacher une politique IAM à cet utilisateur IAM pour que ce dernier puisse copier un instantané de cluster de bases de données chiffré à l'aide de votre clé KMS.

Dans l'exemple de stratégie suivant, l'utilisateur 111122223333 est le propriétaire de la clé de chiffrement KMS, et l'utilisateur 444455556666 est le compte avec lequel la clé est partagée. Cette stratégie de clé mise à jour permet au compte AWS d'accéder à la clé KMS en incluant l'ARN pour l'identité du compte AWS racine pour l'utilisateur 444455556666 en tant que Principal pour la stratégie et en autorisant l'action kms:CreateGrant.

{
  "Id=": "key-policy-1",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid=": "Allow use of the key",
      "Effect": "Allow",
      "Principal": {"AWS": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Sid=": "Allow attachment of persistent resources",
      "Effect": "Allow",
      "Principal": {"AWS": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
    }
  ]
}

Création d'une stratégie IAM pour permettre la copie d'un instantané chiffré

Une fois que le compte AWS externe a accès à votre clé KMS, le propriétaire de ce compte peut générer une stratégie qui autorise un utilisateur IAM créé pour ce compte à copier un instantané chiffré avec cette clé KMS.

L'exemple suivant illustre une stratégie qui est peut être attachée à un utilisateur IAM pour le compte AWS 444455556666. Ceci permet à l'utilisateur IAM de copier un instantané partagé depuis le compte AWS 111122223333 qui a été chiffré avec la clé KMS c989c1dd-a3f2-4a5d-8d96-e793d082ab26 dans la région us-west-2.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid=": "AllowUseOfTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:RetireGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"]
        },
        {
            "Sid=": "AllowAttachmentOfPersistentResources",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
        }
    ]
}

Pour plus de détails sur la mise à jour d'une stratégie de clé, voir Stratégies de clés dans le Guide du développeur AWS Key Management Service.

Partage d'un instantané de cluster de bases de données

Vous pouvez partager un instantané de cluster de bases de données à l'aide de la AWS Management Console, de l'AWS CLI ou de l’API Neptune.

Utilisation de la console pour partager un instantané de cluster de base de données

En utilisant la console Neptune, vous pouvez partager un instantané de cluster de bases de données manuel avec jusqu'à 20 comptes AWS. Vous pouvez également arrêter le partage d'un instantané manuel avec un ou plusieurs comptes.