Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyalin Snapshot Klaster DB

Dengan Neptune, Anda dapat berbagi snapshot klaster DB manual dengan cara berikut:

Untuk informasi selengkapnya mengenai pemulihan klaster DB dari snapshot klaster DB, lihat Cara Memulihkan dari snapshot.

Anda dapat berbagi snapshot manual dengan hingga 20 akun AWS lainnya. Anda juga dapat membagikan snapshot manual yang tidak terenkripsi sebagai publik sehingga snapshot tersedia untuk semua akun AWS. Berhati-hatilah saat membagikan snapshot sebagai publik sehingga tidak ada informasi pribadi yang dimasukkan ke dalam snapshot publik Anda.

Berbagi Snapshot Klaster DB Terenkripsi

Anda dapat berbagi snapshot klaster DB yang telah dienkripsi "saat istirahat" menggunakan algoritme enkripsi AES-256. Untuk informasi selengkapnya, lihat Mengenkripsi data saat istirahat di database Amazon Neptunus Anda. Untuk melakukannya, Anda harus melakukan langkah-langkah berikut:

Pembatasan ini berlaku untuk berbagi snapshot terenkripsi:

Mengizinkan Akses ke Kunci Enkripsi AWS KMS

Untuk akun AWS lain menyalin snapshot klaster DB terenkripsi yang dibagikan dari akun Anda, akun yang Anda bagikan snapshot harus memiliki akses ke kunci KMS yang mengenkripsi snapshot tersebut. Untuk mengizinkan akses akun AWS lain ke kunci AWS KMS, perbarui kebijakan kunci untuk kunci KMS dengan ARN dari akun AWS yang berbagi dengan Anda sebagai Principal dalam kebijakan kunci KMS. Kemudian izinkan tindakan kms:CreateGrant. Lihat Memungkinkan pengguna di akun lain untuk menggunakan kunci KMS di PanduanAWS Key Management Service Developer.

Setelah Anda memberiAWS akun akses ke kunci enkripsi KMS Anda, untuk menyalin snapshot terenkripsi Anda,AWS akun harus membuat sebuah pengguna IAM jika akun tersebut belum memilikinya. Pembatasan keamanan KMS tidak mengizinkan penggunaan identitasAWS akun root untuk ini. AWSakun juga harus melampirkan kebijakan IAM kepada pengguna IAM yang mengizinkan pengguna IAM menyalin DB terenkripsi klaster menggunakan kunci KMS Anda.

Dalam contoh kebijakan utama berikut, pengguna 111122223333 adalah pemilik kunci enkripsi KMS, dan pengguna 444455556666 adalah akun yang kuncinya digunakan bersama. Kebijakan kunci yang diperbarui ini memberi akun AWS akses ke kunci KMS dengan menyertakan ARN untuk identitas akun AWS akar bagi pengguna 444455556666 sebagai Principal untuk kebijakan tersebut, dan dengan mengizinkan tindakan kms:CreateGrant.

{
  "Id=": "key-policy-1",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid=": "Allow use of the key",
      "Effect": "Allow",
      "Principal": {"AWS": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Sid=": "Allow attachment of persistent resources",
      "Effect": "Allow",
      "Principal": {"AWS": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
    }
  ]
}

Membuat Kebijakan IAM untuk Memungkinkan Penyalinan Snapshot Terenkripsi

Setelah akun AWS eksternal memiliki akses ke kunci KMS Anda, pemilik akun tersebut dapat membuat kebijakan yang memungkinkan pengguna IAM yang dibuat untuk akun tersebut menyalin snapshot terenkripsi yang dienkripsi dengan kunci KMS tersebut.

Contoh berikut menunjukkan kebijakan yang dapat dilampirkan ke pengguna IAM untuk 444455556666 akun AWS. Hal ini memungkinkan pengguna IAM menyalin snapshot bersama dari 111122223333 akun AWS yang telah dienkripsi dengan c989c1dd-a3f2-4a5d-8d96-e793d082ab26 kunci KMS di Wilayah us-west-2.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid=": "AllowUseOfTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:RetireGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"]
        },
        {
            "Sid=": "AllowAttachmentOfPersistentResources",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
        }
    ]
}

Untuk detail tentang pembaruan kebijakan kunci, lihat Kebijakan Kunci dalam Panduan Developer AWS Key Management Service.

Menyalin Snapshot Klaster DB

Anda dapat berbagi snapshot klaster DB menggunakan AWS Management Console, AWS CLI, atau API Neptune.

Menggunakan Konsol untuk Berbagi Snapshot Klaster DB

Dengan konsol Neptune, Anda dapat berbagi snapshot klaster DB manual dengan hingga 20 akun AWS. Anda juga dapat berhenti berbagi snapshot manual dengan satu atau beberapa akun.