AWS アカウント間の Amazon RDSインスタンスのレプリケーションを自動化する

作成者: Parag Nagwekar (AWS) と Arun Chandapillai (AWS）

[概要]

このパターンは、AWSStep Functions と AWS Lambda を使用して、異なるアカウント間で Amazon Relational Database Service (Amazon RDS) DB インスタンスをレプリケート、追跡、ロールバックAWSするプロセスを自動化する方法を示しています。この自動化を使用すると、組織の規模に関係なく、パフォーマンスへの影響や運用上のオーバーヘッドなしに RDS DB インスタンスの大規模なレプリケーションを実行できます。このパターンを使用して、組織が必須のデータガバナンス戦略またはコンプライアンス要件に準拠できるようにすることもできます。コンプライアンス要件では、異なるAWSアカウントやAWSリージョンにまたがってデータをレプリケートし、冗長化する必要があります。大規模な Amazon RDSデータのクロスアカウントレプリケーションは、コストと時間がかかる可能性がある非効率でエラーが発生しやすい手動プロセスですが、このパターンの自動化は、クロスアカウントレプリケーションを安全かつ効果的に、効率的に実現するのに役立ちます。

前提条件と制限

前提条件

製品バージョン

アーキテクチャ

テクノロジースタック

ターゲット アーキテクチャ

次の図は、Step Functions を使用して、RDSDB インスタンスのスケジュールされたオンデマンドレプリケーションをソースアカウント (アカウント A) から宛先アカウント (アカウント B) にオーケストレーションするためのアーキテクチャを示しています。

ソースアカウント (図のアカウント A) では、Step Functions ステートマシンが以下を実行します。

宛先アカウント (図のアカウント B) では、Lambda 関数が Step Functions ステートマシンを実行して以下を調整します。

ツール

AWS ツール

コード

このパターンのコードは、 GitHub クロスアカウントRDSレプリケーションリポジトリにあります。

エピック

aws sns add-permission \
--label lambda-access --aws-account-id <DestinationAccount> \
--topic-arn <Arn of SNSTopic > \
--action-name Subscribe ListSubscriptionsByTopic 

aws lambda add-permission \
--function-name <Name of InvokeStepFunction> \
--source-arn <Arn of SNSTopic > \
--statement-id function-with-sns \
--action lambda:InvokeFunction \
--principal sns.amazonaws.com

aws sns subscribe \
--protocol "lambda" \
--topic-arn <Arn of SNSTopic> \
--notification-endpoint <Arn of InvokeStepFunction>

関連リソース

追加情報

次のポリシー例を使用して、AWSアカウント間でAWSKMSキーを共有できます。

{
    "Version": "2012-10-17",
    "Id": "cross-account-rds-kms-key",
    "Statement": [
        {
            "Sid": "Enable user permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<SourceAccount>:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow administration of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<DestinationAccount>:root"
            },
            "Action": [
                "kms:Create*",
                "kms:Describe*",
                "kms:Enable*",
                "kms:List*",
                "kms:Put*",
                "kms:Update*",
                "kms:Revoke*",
                "kms:Disable*",
                "kms:Get*",
                "kms:Delete*",
                "kms:ScheduleKeyDeletion",
                "kms:CancelKeyDeletion"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::<DestinationAccount>:root",
                    "arn:aws:iam::<SourceAccount>:root"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*"
        }
    ]
}