AWS RAM과 Amazon Aurora에서 교차 계정 복제

클러스터를 복제할 수 있는 권한을 부여하려면

1. AWS Management Console에 로그인한 후 https://console.aws.amazon.com/rds/에서 Amazon RDS 콘솔을 엽니다.

2. 탐색 창에서 데이터베이스를 선택합니다.

3. 세부 정보 페이지를 볼 수 있도록 공유할 DB 클러스터와 Connectivity & security(연결 및 보안) 탭을 차례대로 선택합니다.

4. 다른 AWS 계정과 DB 클러스터 공유 섹션에서 해당 클러스터의 복제를 허용할 AWS 계정의 숫자 계정 ID를 입력합니다. 동일한 조직의 계정 ID라면 입력란에 입력을 시작한 후 메뉴에서 선택할 수 있습니다.

   중요

   경우에 따라 자신의 계정과 다른 AWS 조직에 속하는 계정에게 클러스터 복제를 허용해야 할 수도 있습니다. 이때는 보안을 이유로 콘솔은 해당 계정 ID의 소유자 또는 계정 존재 여부를 보고하지 않습니다.

   자신의 AWS 계정과 다른 AWS 조직에 속하는 계정 숫자를 입력할 때는 주의해야 합니다. 원하는 계정과의 공유 여부를 바로 확인하십시오.

5. 확인 페이지에서 지정한 계정 ID가 정확한지 확인합니다. 확인 입력란에 share를 입력하여 확인합니다.

   [세부 정보(Details)] 페이지에서 [이 DB 클러스터를 공유하는 계정(Accounts that this DB cluster is shared with)] 아래 지정된 AWS 계정 ID를 보여 주는 항목이 나타납니다. 상태 열이 처음에는 대기 중으로 표시됩니다.

6. 해당 AWS 계정 소유자에게 연락하거나, 혹은 두 계정을 모두 소유하고 있다면 해당 계정에 로그인합니다. 해당 계정 소유자에게 공유 초대장을 승인한 후 다음과 같이 DB 클러스터를 복제하도록 지시합니다.

클러스터를 복제할 수 있는 권한을 부여하려면

1. 필요한 파라미터 정보를 수집합니다. 클러스터 ARN과 다른 AWS 계정의 숫자 ID가 필요합니다.

2. AWS RAM CLI 명령인 create-resource-share를 실행합니다.

   대상 LinuxmacOS, 또는Unix:

   aws ram create-resource-share --name descriptive_name \
     --region region \
     --resource-arns cluster_arn \
     --principals other_account_ids
   

   Windows의 경우:

   aws ram create-resource-share --name descriptive_name ^
     --region region ^
     --resource-arns cluster_arn ^
     --principals other_account_ids
   

   --principals 파라미터에서 다수의 계정 ID를 추가하려면 공백으로 각 ID를 구분하십시오. 자신의 AWS 조직 외부에 존재하는 계정 ID의 허용 여부를 지정하려면 --allow-external-principals에서 --no-allow-external-principals 또는 create-resource-share 파라미터를 추가합니다.

클러스터를 복제할 수 있는 권한을 부여하려면

1. 필요한 파라미터 정보를 수집합니다. 클러스터 ARN과 다른 AWS 계정의 숫자 ID가 필요합니다.

2. AWS RAM API 작업인 CreateResourceShare를 호출한 후 다음 값을 지정합니다.

   • 하나 이상의 AWS 계정에 대한 계정 ID를 principals 파라미터로 지정합니다.

   • 하나 이상의 Aurora DB 클러스터의 ARN을 resourceArns 파라미터로 지정합니다.

   • allowExternalPrincipals 파라미터에 부울 값을 추가하여 자신의 AWS 조직 외부에 존재하는 계정 ID의 허용 여부를 지정합니다.

소유한 클러스터가 다른 AWS 계정과 공유되는지 확인하려면 다음을 수행하세요.

• 자신의 계정 ID를 리소스 소유자로, 그리고 클러스터 ARN을 리소스 ARN으로 사용하여 AWS RAM CLI 명령인 list-principals를 호출합니다. 다음 명령을 사용해 모든 공유 내역을 확인할 수 있습니다. 명령을 실행한 결과에서 클러스터 복제가 허용되는 AWS 계정을 알 수 있습니다.

  aws ram list-principals \
      --resource-arns your_cluster_arn \
      --principals your_aws_id
  

소유한 클러스터가 다른 AWS 계정과 공유되는지 확인하려면 다음을 수행하세요.

• AWS RAM API 작업 ListPrincipals를 호출합니다. 자신의 계정 ID를 리소스 소유자로, 그리고 클러스터 ARN을 리소스 ARN으로 사용합니다.

다른 AWS 계정에서 소유하고 있는 클러스터 복제 초대장을 보려면

1. AWS RAM CLI 명령인 get-resource-share-invitations를 실행합니다.

   aws ram get-resource-share-invitations --region region_name
   

   위 명령을 실행한 결과에서 이전에 승인하거나 거부한 초대장을 포함해 클러스터 복제 초대장을 모두 볼 수 있습니다.

2. (선택 사항) 자신의 작업이 필요한 초대장만 표시되도록 목록을 필터링할 수 있습니다. 파라미터로 --query 'resourceShareInvitations[?status==`PENDING`]'를 추가하기만 하면 됩니다.

다른 AWS 계정에서 소유하고 있는 클러스터 복제 초대장을 보려면

1. AWS RAM API 작업 GetResourceShareInvitations를 호출합니다. 그러면 이전에 승인하거나 거부한 초대장을 포함해 해당하는 초대장이 모두 반환됩니다.

2. (선택 사항) resourceShareAssociations 반환 필드에서 status 값의 PENDING 유무를 확인하여 자신의 작업이 필요한 초대장만 찾아볼 수 있습니다.

다른 AWS 계정에서 클러스터 공유 초대장을 승인하려면

1. 앞에서 한 것처럼 AWS RAM CLI 명령인 get-resource-share-invitations를 실행하여 초대장 ARN을 찾습니다.

2. 다음과 같이 AWS RAM CLI 명령인 accept-resource-share-invitation을 호출하여 초대장을 승인합니다.

   대상 LinuxmacOS, 또는Unix:

   aws ram accept-resource-share-invitation \
     --resource-share-invitation-arn invitation_arn \
     --region region
   

   Windows의 경우:

   aws ram accept-resource-share-invitation ^
     --resource-share-invitation-arn invitation_arn ^
     --region region
   

다른 사용자의 클러스터 공유 초대장을 승인하려면

1. 앞에서 한 것처럼 AWS RAM API 작업 GetResourceShareInvitations를 호출하여 초대장 ARN을 찾습니다.

2. 해당 ARN을 resourceShareInvitationArn 파라미터로 RDS API 작업인 AcceptResourceShareInvitation에게 전달합니다.

다른 AWS 계정에서 소유하고 있는 Aurora 클러스터를 복제하려면

1. AWS Management Console에 로그인한 후 https://console.aws.amazon.com/rds/에서 Amazon RDS 콘솔을 엽니다.

2. 탐색 창에서 데이터베이스를 선택합니다.

   데이터베이스 목록 상단에서 역할 값이 Shared from account #account_id인 항목이 1개 이상 표시됩니다. 보안을 이유로 직접 확인할 수 있는 원본 클러스터 정보는 제한적입니다. 확인할 수 있는 속성은 복제 클러스터에서 동일해야 하는 데이터베이스 엔진 및 버전 등입니다.

3. 복제할 클러스터를 선택합니다.

4. 작업에서 복제본 생성을 선택합니다.

5. 콘솔 단원의 절차에 따라 복제 클러스터의 설정을 마칩니다.

6. 필요하다면 복제 클러스터의 암호화를 활성화합니다. 복제할 클러스터가 암호화되어 있다면 복제 클러스터에서도 암호화를 활성화해야 합니다. 사용자와 클러스터를 공유한 AWS 계정 역시 클러스터를 암호화하는 데 사용된 KMS 키를 공유해야 합니다. 복제본을 암호화할 때는 동일한 KMS 키를 사용하거나, 사용자 고유의 KMS 키를 사용해도 좋습니다. 클러스터가 기본 KMS 키로 암호화되어 있으면 계정 간 복제본을 생성할 수 없습니다.

   암호화 키를 소유한 계정은 키 정책에 따라 대상 계정에게 키를 사용할 수 있는 권한을 부여해야 합니다. 이러한 프로세스는 대상 계정에게 키 사용 권한을 부여하는 키 정책에 따라 암호화된 스냅샷을 공유하는 방법과 비슷합니다.

다른 AWS 계정에서 소유하고 있는 Aurora 클러스터를 복제하려면

1. 위와 같이 DB 클러스터를 소유하고 있는 AWS 계정의 초대장을 승인합니다.

2. 다음과 같이 RDS CLI 명령인 source-db-cluster-identifier의 restore-db-cluster-to-point-in-time 파라미터에서 원본 클러스터의 전체 ARN을 지정하여 클러스터를 복제합니다.

   source-db-cluster-identifier로 전달된 ARN을 아직 공유하지 않았다면 마치 지정된 클러스터가 존재하지 않는 것처럼 동일한 오류 메시지가 반환됩니다.

   대상 LinuxmacOS, 또는Unix:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time
   

   Windows의 경우:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time
   

3. 복제할 클러스터가 암호화되어 있으면 kms-key-id 파라미터를 추가하여 복제 클러스터도 암호화합니다. kms-key-id 값은 원본 DB 클러스터를 암호화할 때 사용한 것과 동일하거나, 혹은 사용자 고유의 KMS 키가 될 수도 있습니다. 단, 암호화 키를 사용할 수 있는 권한이 계정에게 있어야 합니다.

   대상 LinuxmacOS, 또는Unix:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time \
     --kms-key-id=arn:aws:kms:arn_details
   

   Windows의 경우:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time ^
     --kms-key-id=arn:aws:kms:arn_details
   

   암호화 키를 소유한 계정은 키 정책에 따라 대상 계정에게 키를 사용할 수 있는 권한을 부여해야 합니다. 이러한 프로세스는 대상 계정에게 키 사용 권한을 부여하는 키 정책에 따라 암호화된 스냅샷을 공유하는 방법과 비슷합니다. 키 정책 예제는 다음과 같습니다.

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

다른 AWS 계정에서 소유하고 있는 Aurora 클러스터를 복제하려면

1. 위와 같이 DB 클러스터를 소유하고 있는 AWS 계정의 초대장을 승인합니다.

2. RDS API 작업인 SourceDBClusterIdentifier의 RestoreDBClusterToPointInTime 파라미터에서 원본 클러스터의 전체 ARN을 지정하여 클러스터를 복제합니다.

   SourceDBClusterIdentifier로 전달된 ARN을 아직 공유하지 않았다면 마치 지정된 클러스터가 존재하지 않는 것처럼 동일한 오류 메시지가 반환됩니다.

3. 복제할 클러스터가 암호화되어 있으면 KmsKeyId 파라미터를 추가하여 복제 클러스터도 암호화합니다. kms-key-id 값은 원본 DB 클러스터를 암호화할 때 사용한 것과 동일하거나, 혹은 사용자 고유의 KMS 키가 될 수도 있습니다. 단, 암호화 키를 사용할 수 있는 권한이 계정에게 있어야 합니다.

   볼륨을 복제할 때는 원본 클러스터를 암호화할 때 사용한 암호화 키를 사용할 수 있는 권한이 대상 계정에게 필요합니다. Aurora는 KmsKeyId에 지정된 암호화 키를 사용하여 새로 복제된 클러스터를 암호화합니다.

   암호화 키를 소유한 계정은 키 정책에 따라 대상 계정에게 키를 사용할 수 있는 권한을 부여해야 합니다. 이러한 프로세스는 대상 계정에게 키 사용 권한을 부여하는 키 정책에 따라 암호화된 스냅샷을 공유하는 방법과 비슷합니다. 키 정책 예제는 다음과 같습니다.

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

DB 클러스터가 교차 계정 복제인지 확인하려면

• RDS CLI 명령인 describe-db-clusters를 호출합니다.

  다음 예제는 실제 또는 잠재적 계정 간 복제 DB 클러스터가 describe-db-clusters 출력 시 어떻게 표시되는지 나타낸 것입니다. AWS 계정에서 소유하고 있는 기존 계정이라면 CrossAccountClone 필드에서 클러스터가 다른 AWS 계정에서 소유하고 있는 DB 클러스터의 복제본인지 알 수 있습니다.

  경우에 따라 AWS 필드에 자신과 다른 DBClusterArn 계정 번호의 항목이 존재할 수 있습니다. 이러한 경우 해당 항목은 다른 AWS 계정에서 소유하고 있지만 자신이 복제할 수 있는 클러스터라는 것을 의미합니다. 이러한 항목은 DBClusterArn 외에 다른 필드가 거의 없습니다. 복제 클러스터를 생성할 때는 StorageEncrypted, Engine 및 EngineVersion 값을 원본 클러스터와 동일하게 지정합니다.

  $aws rds describe-db-clusters --include-shared --region us-east-1
  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0
    ]
  }
  

DB 클러스터가 교차 계정 복제인지 확인하려면

• RDS API 작업인 DescribeDBClusters를 호출합니다.

  AWS 계정에서 소유하고 있는 기존 계정이라면 CrossAccountClone 필드에서 클러스터가 다른 AWS 계정에서 소유하고 있는 DB 클러스터의 복제본인지 알 수 있습니다. AWS 필드에서 DBClusterArn 계정 번호가 다른 항목은 복제가 가능하지만 다른 AWS 계정에서 소유하고 있는 클러스터라는 것을 의미합니다. 이러한 항목은 DBClusterArn 외에 다른 필드가 거의 없습니다. 복제 클러스터를 생성할 때는 StorageEncrypted, Engine 및 EngineVersion 값을 원본 클러스터와 동일하게 지정합니다.

  다음 예제는 실제 복제 클러스터와 잠재적 복제 클러스터를 모두 시연한 반환 값을 나타낸 것입니다.

  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0"
        }
    ]
  }