AWS RAM および Amazon Aurora を使用したクロスアカウントのクローン作成

クラスターのクローンを作成するためのアクセス許可を付与するには

1. AWS Management Console にサインインし、Amazon RDS コンソール (https://console.aws.amazon.com/rds/) を開きます。

2. ナビゲーションペインで、[データベース] を選択します。

3. [詳細] ページを表示するために共有する DB クラスターを選択後、[接続とセキュリティ] タブを選択します。

4. 「DB クラスターを他のAWSアカウントと共有する」セクションで、このクラスターの複製を許可するAWSアカウントの数値アカウントIDを入力します。同じ組織のアカウント ID の場合は、ボックスに入力をスタートし、メニューから選択することができます。

   重要

   場合によっては、アカウントと同じ AWS 組織にないアカウントで、クラスターのクローンを作成することがあります。このような場合は、セキュリティ上の理由により、コンソールで、アカウント ID を所有しているユーザーや、アカウントの有無はレポートされません。

   AWS アカウントと同じ AWS 組織にないアカウントの数値は慎重に入力してください。目的のアカウントと共有されたことをすぐに確認します。

5. 確認ページで、指定したアカウント ID が正しいことを確認します。確認するには、確認ボックスに「share」と入力します。

   [詳細] ページの [この DB クラスターが共有されているアカウント] に、指定した AWS アカウント ID を示すエントリが表示されます。[ステータス] 列には初期、[Pending (保留中)] のステータスが表示されます。

6. 他の AWS アカウントの所有者に連絡するか、両方を所有している場合はそのアカウントにサインインしてください。以下の説明に従って、共有の招待を受け入れ、DB クラスターのクローンを作成するように他のアカウントの所有者に指示します。

クラスターのクローンを作成するためのアクセス許可を付与するには

1. 必須パラメータに関する情報を収集します。クラスターの ARN と他の AWS アカウントの数値 ID が必要です。

2. AWS RAM CLI コマンド create-resource-share を実行します。

   Linux、macOS、Unix の場合:

   aws ram create-resource-share --name descriptive_name \
     --region region \
     --resource-arns cluster_arn \
     --principals other_account_ids
   

   Windows の場合:

   aws ram create-resource-share --name descriptive_name ^
     --region region ^
     --resource-arns cluster_arn ^
     --principals other_account_ids
   

   --principals パラメータに複数アカウント ID を含めるには、ID をスペースで区切ります。許可されたアカウント ID が、AWS 組織の外部かどうかを指定するには、--allow-external-principals に --no-allow-external-principals または create-resource-share パラメータを含めます。

クラスターのクローンを作成するためのアクセス許可を付与するには

1. 必須パラメータに関する情報を収集します。クラスターの ARN と他の AWS アカウントの数値 ID が必要です。

2. AWS RAM API オペレーション CreateResourceShare を呼び出し、次の値を指定します。

   • 1 つ以上の AWS アカウントのアカウント ID を principals パラメータとして指定します。

   • 1 つ以上の Aurora DB クラスターの ARN を resourceArns パラメータとして指定します。

   • 許可されたアカウント ID が、AWS 組織の外部かどうかを指定するには、allowExternalPrincipals パラメータにブール値を含めます。

所有しているクラスターが他の AWS アカウントと共有されているかどうかを確認するには

• AWS RAM CLI コマンド list-principals を呼び出します。この際、アカウント ID をリソースの所有者として、クラスターの ARN をリソース ARN として使用します。共有はすべて、次のコマンドで確認することができます。クラスターのクローン作成を許可されている AWS アカウントが結果で示されます。

  aws ram list-principals \
      --resource-arns your_cluster_arn \
      --principals your_aws_id
  

所有しているクラスターが他の AWS アカウントと共有されているかどうかを確認するには

• AWS RAM API オペレーション ListPrincipals を呼び出します。アカウント ID をリソースの所有者として、クラスターの ARN をリソース ARN として使用します。

他の AWS アカウントが所有するクラスターのクローンを作成する招待を表示するには

1. AWS RAM CLI コマンド get-resource-share-invitations を実行します。

   aws ram get-resource-share-invitations --region region_name
   

   上記のコマンドの結果には、クラスターのクローンを作成するためのすべての招待が表示されます。これには、既に承認または却下されたものも含まれます。

2. (オプション) 自分のアクションが必要な招待のみ表示されるようにリストをフィルタリングする そのためには、--query 'resourceShareInvitations[?status==`PENDING`]' パラメータを追加します。

他の AWS アカウントが所有するクラスターのクローンを作成する招待を表示するには

1. AWS RAM API オペレーション GetResourceShareInvitations を呼び出します。このオペレーションでは、既に承認または却下されたものを含め、すべての招待が返ります。

2. (オプション) 自分のアクションが必要な招待のみを検索するには、resourceShareAssociations 戻りフィールドで値が status の PENDING を確認します。

別の AWS アカウントからクラスターを共有するための招待を承認するには

1. 招待 ARN を検索するには、前述されているように、AWS RAM CLI コマンド get-resource-share-invitations を実行します。

2. 招待を承認するには、前述されているように、AWS RAM CLI コマンド accept-resource-share-invitation を呼び出します。

   Linux、macOS、Unix の場合:

   aws ram accept-resource-share-invitation \
     --resource-share-invitation-arn invitation_arn \
     --region region
   

   Windows の場合:

   aws ram accept-resource-share-invitation ^
     --resource-share-invitation-arn invitation_arn ^
     --region region
   

別のアカウントのクラスターを共有するための招待を承認するには

1. 招待 ARN を検索するには、前述されているように、AWS RAM API オペレーション GetResourceShareInvitations を呼び出します。

2. resourceShareInvitationArn パラメータとして ARN を RDS API オペレーション AcceptResourceShareInvitation を渡します。

別の AWS アカウントが所有する Aurora クラスターのクローンを作成するには

1. AWS Management Console にサインインし、Amazon RDS コンソール (https://console.aws.amazon.com/rds/) を開きます。

2. ナビゲーションペインで、[データベース] を選択します。

   データベースリストの上部に、[ロール] 値が Shared from account #account_id の項目が 1 つ以上表示されます。セキュリティ上の理由により、元のクラスターに関する情報は一部のみ表示されます。表示されているプロパティ(データベースエンジン、バージョンなど) は、クローン作成されたクラスターのものと同じです 。

3. クローンを作成するクラスターを選択します。

4. [Actions] の [クローンの作成] を選択します。

5. コンソール の手順に従って、クローンを作成したクラスターの設定を終了します。

6. 必要に応じて、クローンを作成したクラスターの暗号化を有効にします。クローンを作成しているクラスターが暗号化されている場合は、クローンを作成したクラスターの暗号化を有効にする必要があります。また、お客様とクラスターを共有した AWS アカウントは、クラスターの暗号化に使用した KMS キーも共有する必要があります。同じ KMS キーを使用してクローンを暗号化したり、独自の KMS キーを暗号化したりすることもできます。デフォルトの KMS キーで暗号化されているクラスターのクロスアカウントクローンを作成することはできません。

   暗号化キーを所有するアカウントは、キーポリシーを使用して送信先アカウントにキーを使用するためのアクセス許可を付与する必要があります。このプロセスは、暗号化されたスナップショットが共有される方法と似ています。つまり、キーポリシーを使用して、キーを使用するためのアクセス許可を送信先アカウントに付与します。

別の AWS アカウントが所有する Aurora クラスターのクローンを作成するには

1. 前述のように、DB クラスターを所有する AWS アカウントからの招待を承認します。

2. クラスターのクローンを作成するには、前述のように、RDS CLI コマンド source-db-cluster-identifier の restore-db-cluster-to-point-in-time パラメータで、ソースクラスターのフル ARN を指定します。

   source-db-cluster-identifier として渡した ARN が共有されていない場合は、指定されたクラスターが存在しないかのように同じエラーが返ります。

   Linux、macOS、Unix の場合:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time
   

   Windows の場合:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time
   

3. クローンを作成するクラスターが暗号化されている場合は、kms-key-id パラメータを含めて、クローンを作成したクラスターを暗号化します。この kms-key-id 値は、元の DB クラスターの暗号化に使用したのと同じ値か、独自の KMS キーになります。その暗号化キーを使用するためのアクセス許可が、お客様のアカウントに付与されている必要があります。

   Linux、macOS、Unix の場合:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time \
     --kms-key-id=arn:aws:kms:arn_details
   

   Windows の場合:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time ^
     --kms-key-id=arn:aws:kms:arn_details
   

   暗号化キーを所有するアカウントは、キーポリシーを使用して送信先アカウントにキーを使用するためのアクセス許可を付与する必要があります。このプロセスは、暗号化されたスナップショットが共有される方法と似ています。つまり、キーポリシーを使用して、キーを使用するためのアクセス許可を送信先アカウントに付与します。キーポリシーの例を次に示します。

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

別の AWS アカウントが所有する Aurora クラスターのクローンを作成するには

1. 前述のように、DB クラスターを所有する AWS アカウントからの招待を承認します。

2. クラスターのクローンを作成するには、RDS API オペレーション SourceDBClusterIdentifier の RestoreDBClusterToPointInTime パラメータで、ソースクラスターのフル ARN を指定します。

   SourceDBClusterIdentifier として渡した ARN が共有されていない場合は、指定されたクラスターが存在しないかのように同じエラーが返ります。

3. クローンを作成しているクラスターが暗号化されている場合は、クローン作成されたクラスターを暗号化するように KmsKeyId パラメータを含めます。この kms-key-id 値は、元の DB クラスターの暗号化に使用したのと同じ値か、独自の KMS キーになります。その暗号化キーを使用するためのアクセス許可が、お客様のアカウントに付与されている必要があります。

   ボリュームのクローンを作成する場合は、ソースクラスターの暗号化に使用した暗号化キーを使用するためのアクセス許可が送信先アカウントに付与されている必要があります。Aurora は、KmsKeyId に指定した暗号化キーを使用して、新しいクローンクラスターを暗号化します。

   暗号化キーを所有するアカウントは、キーポリシーを使用して送信先アカウントにキーを使用するためのアクセス許可を付与する必要があります。このプロセスは、暗号化されたスナップショットが共有される方法と似ています。つまり、キーポリシーを使用して、キーを使用するためのアクセス許可を送信先アカウントに付与します。キーポリシーの例を次に示します。

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

DB クラスターがクロスアカウントのクローンであるかどうかを確認するには

• RDS CLI コマンド describe-db-clusters を呼び出します。

  以下の例では、実際または可能性のあるクロスアカウントクローンの DB クラスターが describe-db-clusters 出力に表示される様子を示します。お客様の AWS アカウントが所有する既存のクラスターの場合は CrossAccountClone フィールドに、クラスターがお客様の AWS アカウントが所有する DB クラスターのクローンかどうかが示されます。

  場合によっては、エントリの AWS フィールドにお客様のアカウントとは異なる DBClusterArn アカウント番号が含まれていることがあります。この場合、そのエントリは別の AWS アカウントが所有し、クローン作成が可能なクラスターであることを表します。そのようなエントリには、DBClusterArn 以外のフィールドがいくつか含まれます。クローン作成されたクラスターを作成する際は、元のクラスターと同じ StorageEncrypted、Engine、および EngineVersion 値を指定します。

  $aws rds describe-db-clusters --include-shared --region us-east-1
  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0
    ]
  }
  

DB クラスターがクロスアカウントのクローンであるかどうかを確認するには

• RDS API オペレーション DescribeDBClusters を呼び出します。

  お客様の AWS アカウントが所有する既存のクラスターの場合は CrossAccountClone フィールドに、クラスターが別の AWS アカウントが所有する DB クラスターのクローンかどうかが示されます。AWS フィールドに別の DBClusterArn アカウント番号を持つエントリは、クローン作成が可能で、他の AWS アカウントが所有するクラスターであることを表します。このようなエントリには、DBClusterArn 以外のフィールドがいくつか含まれます。クローン作成されたクラスターを作成する際は、元のクラスターと同じ StorageEncrypted、Engine、および EngineVersion 値を指定します。

  次の例は、実際のクローンクラスターと潜在的なクローンクラスターの両方を示す戻り値を示しています。

  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0"
        }
    ]
  }