Scarica i dati da un cluster Amazon Redshift tra più account su Amazon S3

Nell'PRODaccount, accedi a e apri AWS Management Console la console Secrets Manager all'indirizzo https://console.aws.amazon.com/secretsmanager/.

Scegli Conserva un nuovo segreto.

Seleziona Credenziali per il data warehouse Amazon Redshift.

Per Nome utente e password, inserisci i valori per l'istanza e conferma o scegli un valore per la chiave di crittografia.

Scegli il data warehouse di Amazon Redshift a cui accederà il tuo segreto.

Inserisci Redshift-Creds-Secret il nome segreto.

Completa i restanti passaggi di creazione con le scelte predefinite, quindi scegli Store.

Visualizza il tuo segreto e annota il ARN valore Segreto che è stato generato per identificare il segreto.

Nell'PRODaccount, apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

Seleziona Policy.

Scegli Create Policy (Crea policy).

Scegli la JSONscheda, quindi inserisci una IAM politica come la seguente:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetResourcePolicy",
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret",
                "secretsmanager:ListSecretVersionIds"
            ],
            "Resource": [
                "<Redshift-Creds-Secret-ARN>"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "secretsmanager:ListSecrets",
            "Resource": "*"
        }
    ]
}

Sostituisci Redshift-Creds-Secret-ARN con l'Amazon Resource Name (ARN) del segreto di Secrets Manager che contiene le informazioni e le credenziali per il cluster Amazon Redshift.

Nell'DEVaccount, apri la IAM console.

 Seleziona Policy.

Scegli Create Policy (Crea policy).

 Scegli la JSONscheda, quindi inserisci una IAM politica come la seguente:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "kmsstmt",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": [
        "<kms-key-arn>"
      ]
    },
    {
      "Sid": "s3stmt",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:Get*",
        "s3:List*"
      ],
      "Resource": [
        "arn:aws:s3:::mybucket",
        "arn:aws:s3:::mybucket/*"
      ]
    }
  ]
}

Sostituisci mybucket con il nome del bucket S3 a cui desideri accedere. Inoltre, se il bucket S3 è crittografato, sostituiscilo kms-key-arn con la ARN chiave AWS Key Management Service (AWS KMS) utilizzata per crittografare il bucket S3. Altrimenti, non è necessaria la sezione della AWS KMS policy.

Scegli Rivedi politica, inserisci S3-Write-Policy come nome della politica, quindi scegli Crea politica.

Nel pannello di navigazione, seleziona Roles (Ruoli).

 Selezionare Create role (Crea ruolo).

Per il ruolo di entità attendibile, scegli Politica di fiducia personalizzata.

Scegli Avanti: Autorizzazioni, quindi seleziona la politica S3-Write-Policy che hai creato.

Immettete S3-Write-Role come nome del ruolo, quindi scegliete Crea ruolo.

Nell'PRODaccount, apri la IAM console.

Seleziona Policy.

Scegli Create Policy (Crea policy).

Scegli la JSONscheda, quindi inserisci una IAM politica come la seguente:

{
    "Version": "2012-10-17",
    "Statement": [
            {
            "Sid": "CrossAccountPolicy",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "S3-Write-Role-ARN"
        }
    ]
}

S3-Write-Role-ARNSostituiscilo con il ARN simbolo «for the» presente S3-Write-Role nell'DEVaccount.

Scegli Rivedi politica, inserisci S3-Write-Role-Assume-Policy come nome della politica, quindi scegli Crea politica.

Nel riquadro di navigazione, scegli Ruoli e quindi Crea ruolo.

Scegli il AWSservizio come tipo di entità affidabile, quindi scegli Redshift, Redshift - Personalizzabile.

Scegli Avanti: Autorizzazioni, quindi seleziona la politica S3-Write-Role-Assume-Policy che hai creato.

Immettete CrossAccount-S3-Write-Role come nome del ruolo, quindi scegliete Crea ruolo.

Associa il IAM ruolo al tuo cluster Amazon Redshift.

Apri la console Lambda all'indirizzo. https://console.aws.amazon.com/lambda/

Scegli Funzioni.

Scegli Crea funzione.

In Informazioni di base, immettere un nome per la funzione in Nome funzione.

Per Runtime, scegli Python 3.8.

Espandi Cambia il ruolo di esecuzione predefinito, quindi procedi come segue:

Espandi Impostazioni avanzate ed esegui le seguenti operazioni:

Scegli Crea funzione.

Aggiungi la libreria psycopg2 come livello alla funzione Lambda.

Nota: è possibile utilizzare un layer già distribuito dal repository psycopg2-lambda-layer. Assicurati di usare il runtime URL basato sul tuo Regione AWS e su Python.

Apri la AWS Lambda console all'indirizzo https://console.aws.amazon.com/lambda/.

Individua e seleziona la funzione Lambda che hai creato.

Scegli Azioni, quindi Elimina.

Conferma l'eliminazione.

Apri la IAM console.

Eliminare i seguenti ruoli:

Eliminare le politiche associate:

Apri la IAM console.

Eliminare i seguenti ruoli:

Eliminare le politiche associate:

Nell'PRODaccount, apri la console Secrets Manager.

Individua e seleziona il segreto denominatoRedshift-Creds-Secret.

Scegli Actions (Operazioni) e Delete secret (Elimina segreto).

Conferma l'eliminazione.

Nell'PRODaccount, apri la EC2 console Amazon all'indirizzo https://console.aws.amazon.com/ec2/.

Vai a Gruppi di sicurezza.

Trova il gruppo di sicurezza utilizzato dal cluster Amazon Redshift.

Modifica le regole in entrata e rimuovi la regola che consente le connessioni dalla Lambda VPC dell'DEVaccount.

Passa a VPCPeering Connections ed elimina la connessione peering.

Nell'DEVaccount, apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/

Individua il bucket che hai usato per l'archiviazione dei dati.

Elimina gli oggetti all'interno del bucket o elimina l'intero bucket se non è più necessario.

Apri la AWS KMS console all'indirizzo https://console.aws.amazon.com/kms/.

Individua tutte le chiavi create per questo modello.

Pianifica la cancellazione delle chiavi. (Esiste un periodo di attesa obbligatorio per l'eliminazione delle chiavi).

Apri la CloudWatch console all'indirizzo https://console.aws.amazon.com/cloudwatch/.

Verifica la presenza di eventuali gruppi di log creati dalla funzione Lambda o dal cluster Amazon Redshift.

Elimina questi gruppi di log se non sono più necessari.