Mengekspor data snapshot DB ke Amazon S3 untuk Amazon RDS

1. Identifikasi snapshot yang akan diekspor.

   Gunakan snapshot otomatis atau manual yang ada, atau buat snapshot manual dari instans DB atau cluster DB multi-AZ.

2. Siapkan akses ke bucket Amazon S3.

   Bucket adalah kontainer untuk objek atau file Amazon S3. Untuk memberikan informasi agar dapat mengakses bucket, lakukan langkah-langkah berikut:

   1. Identifikasi bucket S3 tempat snapshot akan diekspor. Bucket S3 harus berada di AWS Wilayah yang sama dengan snapshot. Untuk informasi selengkapnya, lihat Mengidentifikasi bucket Amazon S3 untuk ekspor.

   2. Buat peran AWS Identity and Access Management (IAM) yang memberikan akses tugas ekspor snapshot ke bucket S3. Untuk informasi selengkapnya, lihat Menyediakan akses ke bucket Amazon S3 menggunakan peran IAM.

3. Buat enkripsi simetris AWS KMS key untuk enkripsi sisi server. KMSKuncinya digunakan oleh tugas ekspor snapshot untuk mengatur enkripsi AWS KMS sisi server saat menulis data ekspor ke S3.

   Kebijakan KMS utama harus menyertakan izin kms:CreateGrant dan kms:DescribeKey izin. Untuk informasi selengkapnya tentang menggunakan KMS kunci di AmazonRDS, lihatAWS KMS key pengelolaan.

   Jika Anda memiliki pernyataan penolakan dalam kebijakan KMS utama Anda, pastikan untuk secara eksplisit mengecualikan prinsip AWS layanan. export.rds.amazonaws.com

   Anda dapat menggunakan KMS kunci dalam AWS akun Anda, atau Anda dapat menggunakan KMS kunci lintas akun. Untuk informasi selengkapnya, lihat Menggunakan akun silang AWS KMS key untuk mengenkripsi ekspor Amazon S3.

4. Ekspor snapshot ke Amazon S3 menggunakan konsol atau start-export-task CLI perintah. Untuk informasi selengkapnya, lihat Mengekspor data snapshot DB ke bucket Amazon S3.

5. Untuk mengakses data Anda yang diekspor di bucket Amazon S3 lihat Mengunggah, mengunduh, dan mengelola objek dalam Panduan Pengguna Amazon Simple Storage Service.

Untuk memberi tugas snapshot DB akses ke Amazon S3

1. Buat IAM kebijakan. Kebijakan ini memberi bucket dan objek izin yang memungkinkan tugas ekspor snapshot Anda mengakses Amazon S3.

   Dalam kebijakan, sertakan tindakan berikut yang diperlukan untuk mengizinkan transfer file dari Amazon RDS ke bucket S3:

   • s3:PutObject*

   • s3:GetObject*

   • s3:ListBucket

   • s3:DeleteObject*

   • s3:GetBucketLocation

   Dalam kebijakan tersebut, sertakan sumber daya berikut untuk mengidentifikasi bucket S3 dan objek dalam bucket. Daftar sumber daya berikut menunjukkan format Amazon Resource Name (ARN) untuk mengakses Amazon S3.

   • arn:aws:s3:::amzn-s3-demo-bucket

   • arn:aws:s3:::amzn-s3-demo-bucket/*

   Untuk informasi selengkapnya tentang membuat IAM kebijakan untuk AmazonRDS, lihatMembuat dan menggunakan kebijakan IAM untuk akses basis data IAM. Lihat juga Tutorial: Buat dan lampirkan kebijakan terkelola pelanggan pertama Anda di Panduan IAM Pengguna.

   AWS CLI Perintah berikut membuat IAM kebijakan bernama ExportPolicy dengan opsi ini. Ini memberikan akses ke ember bernama amzn-s3-demo-bucket.

   catatan

   Setelah Anda membuat kebijakan, perhatikan kebijakan tersebut. ARN Anda memerlukan langkah selanjutnya saat Anda melampirkan kebijakan ke suatu IAM peran. ARN

   aws iam create-policy  --policy-name ExportPolicy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ExportPolicy",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject*",
                   "s3:ListBucket",
                   "s3:GetObject*",
                   "s3:DeleteObject*",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }'

2. Buat IAM peran, sehingga Amazon RDS dapat mengambil IAM peran ini atas nama Anda untuk mengakses bucket Amazon S3 Anda. Untuk informasi selengkapnya, lihat Membuat peran untuk mendelegasikan izin kepada IAM pengguna di Panduan IAM Pengguna.

   Contoh berikut menunjukkan menggunakan AWS CLI perintah untuk membuat peran bernamards-s3-export-role.

   aws iam create-role  --role-name rds-s3-export-role  --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "export.rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole"
          }
        ] 
      }'

3. Lampirkan IAM kebijakan yang Anda buat ke IAM peran yang Anda buat.

   AWS CLI Perintah berikut melampirkan kebijakan yang dibuat sebelumnya ke peran bernamards-s3-export-role. Ganti your-policy-arn dengan kebijakan ARN yang Anda catat di langkah sebelumnya.

   aws iam attach-role-policy  --policy-arn your-policy-arn  --role-name rds-s3-export-role

Untuk menggunakan kunci lintas akun KMS

1. Tambahkan kebijakan kunci ke akun lokal.

   Contoh berikut memberi ExampleRole dan ExampleUser di akun eksternal 444455556666 izin di akun lokal 123456789012.

   {
       "Sid": "Allow an external account to use this KMS key",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "arn:aws:iam::444455556666:role/ExampleRole",
               "arn:aws:iam::444455556666:user/ExampleUser"
           ]
       },
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "*"
   }

2. Tambahkan IAM kebijakan ke akun eksternal.

   Contoh IAM kebijakan berikut memungkinkan prinsipal untuk menggunakan KMS kunci dalam akun 123456789012 untuk operasi kriptografi. Untuk memberikan izin ini ke ExampleRole dan ExampleUser di akun 444455556666, lampirkan kebijakan di akun tersebut.

   {
       "Sid": "Allow use of KMS key in account 123456789012",
       "Effect": "Allow",
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
   }