기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

DB 클러스터 스냅샷 공유

Neptune을 사용하면 다음과 같은 방법으로 수동 DB 클러스터 스냅샷을 공유할 수 있습니다.

DB 클러스터 스냅샷에서 DB 클러스터를 복원하는 방법에 대한 자세한 내용은 스냅샷에서 복원하는 방법 단원을 참조하십시오.

최대 20개의 다른 AWS 계정과 수동 스냅샷을 공유할 수 있습니다. 암호화되지 않은 수동 스냅샷을 퍼블릭으로 공유할 수도 있습니다. 그러면 스냅샷을 모든 AWS 계정에서 사용할 수 있습니다. 스냅샷을 퍼블릭으로 공유할 경우 비공개 정보가 퍼블릭 스냅샷에 포함되지 않도록 유의하십시오.

암호화된 DB 클러스터 스냅샷 공유

AES-256 암호화 알고리즘을 사용하여 "유휴 상태"에서 암호화된 DB 클러스터 스냅샷을 공유할 수 있습니다. 자세한 내용은 Amazon Neptune 데이터베이스에서 저장 데이터 암호화 단원을 참조하십시오. 이렇게 하려면 다음 단계를 따라야 합니다.

이러한 제한은 암호화된 스냅샷 공유에 적용됩니다.

AWS KMS 암호화 키에 대한 액세스 허용

다른 AWS 계정이 계정에서 공유된 암호화된 DB 클러스터 스냅샷을 복사하려면 스냅샷을 공유하는 계정이 스냅샷을 암호화한 KMS 키에 액세스할 수 있어야 합니다. 키에 대한 다른 AWS 계정 액세스를 허용하려면 KMS 키 정책의 로 공유하려는 AWS 계정의 ARN으로 KMS 키Principal의 키 정책을 AWS KMS 업데이트합니다. 그런 다음 kms:CreateGrant 작업을 허용합니다. 자세한 내용은 AWS Key Management Service 개발자 안내서의 다른 계정의 사용자가 KMS 키를 사용하도록 허용을 참조하세요.

KMS 암호화 키에 대한 AWS 계정 액세스 권한을 부여한 후 암호화된 스냅샷을 복사하려면 해당 계정에 아직 IAM 사용자가 없는 경우 해당 AWS 계정을 생성해야 합니다. KMS 보안 제한은 이에 대한 루트 AWS 계정 자격 증명 사용을 허용하지 않습니다. 또한 AWS 계정은 IAM 사용자가 KMS 키를 사용하여 암호화된 DB 클러스터 스냅샷을 복사할 수 있도록 허용하는 IAM 정책을 해당 IAM 사용자에게 연결해야 합니다.

다음 키 정책 예에서는 사용자 111122223333이 KMS 암호화 키의 소유자이고 사용자 444455556666이 키를 공유하는 계정입니다. 이 업데이트된 키 정책은 사용자의 루트 AWS 계정 자격 증명에 대한 ARN을 정책의 444455556666로 포함하고 kms:CreateGrant 작업을 허용하여 AWS KMS 키Principal에 대한 액세스 권한을 계정에 부여합니다.

{
  "Id": "key-policy-1",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowUseOfTheKey",
      "Effect": "Allow",
      "Principal": {"AWS": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowAttachmentOfPersistentResources",
      "Effect": "Allow",
      "Principal": {"AWS": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
    }
  ]
}

암호화된 스냅샷을 복사할 수 있도록 IAM 정책 만들기

외부 AWS 계정이 KMS 키에 액세스한 후 해당 계정의 소유자는 계정에 대해 생성된 IAM 사용자가 해당 KMS 키로 암호화된 암호화된 스냅샷을 복사할 수 있도록 허용하는 정책을 생성할 수 있습니다.

다음 예제는 AWS 계정 444455556666에 대한 IAM 사용자에 연결할 수 있는 정책을 보여줍니다. 이 정책을 통해 IAM 사용자는 us-west-2 리전에서 KMS 키 c989c1dd-a3f2-4a5d-8d96-e793d082ab26을 사용하여 암호화된 AWS 계정 111122223333에서 공유 스냅샷을 복사할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowUseOfTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:RetireGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"]
        },
        {
            "Sid": "AllowAttachmentOfPersistentResources",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
        }
    ]
}

키 정책 업데이트에 관한 세부 정보는 AWS Key Management Service 개발자 안내서의 키 정책을 참조하세요.

DB 클러스터 스냅샷 공유

AWS Management Console AWS CLI, 또는 Neptune API를 사용하여 DB 클러스터 스냅샷을 공유할 수 있습니다.

콘솔을 사용하여 DB 클러스터 스냅샷 공유

Neptune 콘솔을 사용하여 최대 20개의 AWS 계정과 수동 DB 클러스터 스냅샷을 공유할 수 있습니다. 또한 수동 스냅샷을 하나 이상의 계정과 공유하는 것을 중지할 수 있습니다.