Esportazione di dati di snapshot DB su Amazon S3 per Amazon RDS

1. Identificare lo snapshot da esportare.

   Usa uno snapshot automatico o manuale esistente o crea uno snapshot manuale di un'istanza DB o di un cluster DB Multi-AZ.

2. Configurare l'accesso al bucket Simple Storage Service (Amazon S3).

   Un bucket è un container per oggetti o file Simple Storage Service (Amazon S3). Per fornire le informazioni per accedere a un bucket, attenersi alla seguente procedura:

   1. Identificare il bucket S3 in cui deve essere esportato lo snapshot. Il bucket S3 deve trovarsi nella stessa AWS regione dello snapshot. Per ulteriori informazioni, consulta Identificazione del bucket Simple Storage Service (Amazon S3) in cui esportare.

   2. Crea un ruolo AWS Identity and Access Management (IAM) che conceda all'attività di esportazione delle istantanee l'accesso al bucket S3. Per ulteriori informazioni, consulta Fornire l'accesso a un bucket Amazon S3 utilizzando un ruolo IAM.

3. Crea una crittografia simmetrica per la crittografia lato server. AWS KMS key La KMS chiave viene utilizzata dall'attività di esportazione delle istantanee per configurare la crittografia AWS KMS lato server durante la scrittura dei dati di esportazione su S3.

   La politica KMS chiave deve includere sia le autorizzazioni che. kms:CreateGrant kms:DescribeKey Per ulteriori informazioni sull'utilizzo KMS delle chiavi in AmazonRDS, consultaAWS KMS key gestione.

   Se nella tua policy KMS chiave è presente una dichiarazione di rifiuto, assicurati di escludere esplicitamente il responsabile del AWS servizio. export.rds.amazonaws.com

   Puoi utilizzare una KMS chiave all'interno del tuo AWS account oppure puoi utilizzare una chiave per più account. KMS Per ulteriori informazioni, consulta Utilizzo di un account incrociato AWS KMS key per crittografare le esportazioni Amazon S3.

4. Esporta lo snapshot in Amazon S3 utilizzando la console o start-export-task CLI il comando. Per ulteriori informazioni, consulta Esportazione di uno snapshot DB in un bucket Amazon S3.

5. Per accedere ai dati esportati nel bucket Simple Storage Service (Amazon S3), consulta Caricamento, download e gestione di oggetti nella Guida per l'utente di Amazon Simple Storage Service.

Per fornire alle attività dello snapshot DB l'accesso a Amazon S3

1. Creare una policy IAM. Questa policy fornisce le autorizzazioni al bucket e all'oggetto che consentono all'attività di esportazione snapshot l'accesso a Amazon S3.

   Nella policy, includi le seguenti azioni richieste per consentire il trasferimento di file da Amazon RDS a un bucket S3:

   • s3:PutObject*

   • s3:GetObject*

   • s3:ListBucket

   • s3:DeleteObject*

   • s3:GetBucketLocation

   Includi nella policy le seguenti risorse per identificare il bucket S3 e gli oggetti nel bucket. Il seguente elenco di risorse mostra il formato Amazon Resource Name (ARN) per accedere ad Amazon S3.

   • arn:aws:s3:::amzn-s3-demo-bucket

   • arn:aws:s3:::amzn-s3-demo-bucket/*

   Per ulteriori informazioni sulla creazione di una IAM politica per AmazonRDS, consultaCreazione e utilizzo di una policy IAM per l'accesso al database IAM. Vedi anche Tutorial: Crea e allega la tua prima politica gestita dai clienti nella Guida IAM per l'utente.

   Il AWS CLI comando seguente crea una IAM politica denominata ExportPolicy con queste opzioni. Concede l'accesso a un bucket denominato amzn-s3-demo-bucket.

   Nota

   Dopo aver creato la politica, prendete nota ARN della politica. È necessario eseguire ARN un passaggio successivo quando si associa la politica a un IAM ruolo.

   aws iam create-policy  --policy-name ExportPolicy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ExportPolicy",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject*",
                   "s3:ListBucket",
                   "s3:GetObject*",
                   "s3:DeleteObject*",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }'

2. Crea un IAM ruolo, in modo che Amazon RDS possa assumerlo IAM per tuo conto per accedere ai tuoi bucket Amazon S3. Per ulteriori informazioni, consulta Creare un ruolo per delegare le autorizzazioni a un IAM utente nella Guida per l'utente. IAM

   L'esempio seguente mostra l'utilizzo del AWS CLI comando per creare un ruolo denominato. rds-s3-export-role

   aws iam create-role  --role-name rds-s3-export-role  --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "export.rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole"
          }
        ] 
      }'

3. Collegare la policy IAM creata al ruolo IAM che è stato creato.

   Il AWS CLI comando seguente collega la politica creata in precedenza al ruolo denominatords-s3-export-role. Sostituiscilo your-policy-arn con la politica ARN che hai annotato in un passaggio precedente.

   aws iam attach-role-policy  --policy-arn your-policy-arn  --role-name rds-s3-export-role

Per utilizzare una chiave per più account KMS

1. Aggiungi una policy di chiave all'account locale.

   Il seguente esempio fornisce ExampleRole e ExampleUser nell'account esterno 444455556666 autorizzazioni nell'account locale 123456789012.

   {
       "Sid": "Allow an external account to use this KMS key",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "arn:aws:iam::444455556666:role/ExampleRole",
               "arn:aws:iam::444455556666:user/ExampleUser"
           ]
       },
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "*"
   }

2. Aggiungi IAM politiche all'account esterno.

   La seguente IAM politica di esempio consente al principale di utilizzare la KMS chiave nell'account 123456789012 per operazioni crittografiche. Per concedere questa autorizzazione a ExampleRole e ExampleUser nell'account 444455556666, collega la policy ad essi nell'account.

   {
       "Sid": "Allow use of KMS key in account 123456789012",
       "Effect": "Allow",
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
   }