AWS계정 간 Amazon RDS 인스턴스 복제를 자동화합니다.

작성자: 파라그 나그웨카르 () 와 아룬 찬다필라이 () AWS AWS

요약

이 패턴은 Step AWS Functions와 Lambda를 사용하여 AWS 여러 계정에서 Amazon 관계형 데이터베이스 서비스 (RDSAmazon) DB 인스턴스를 복제, 추적 및 AWS 롤백하는 프로세스를 자동화하는 방법을 보여줍니다. 이 자동화를 사용하면 조직의 규모와 상관없이 성능에 영향을 미치거나 운영 오버헤드 없이 RDS DB 인스턴스의 대규모 복제를 수행할 수 있습니다. 또한 이 패턴을 사용하여 여러 계정 및 지역에 걸쳐 데이터를 복제하고 중복해야 하는 필수 데이터 거버넌스 전략 또는 규정 준수 요구 사항을 조직이 준수하도록 도울 수 있습니다. AWS AWS Amazon RDS 데이터의 대규모 계정 간 복제는 비용과 시간이 많이 소요될 수 있는 비효율적이고 오류가 발생하기 쉬운 수동 프로세스입니다. 그러나 이 패턴의 자동화는 계정 간 복제를 안전하고 효과적이며 효율적으로 수행하는 데 도움이 될 수 있습니다.

사전 조건 및 제한 사항

사전 조건 

제품 버전

아키텍처

기술 스택

대상 아키텍처 

다음 다이어그램은 Step Functions를 사용하여 원본 계정 (계정 A) 에서 대상 계정 (계정 B) 으로 RDS DB 인스턴스의 예약 온디맨드 복제를 오케스트레이션하는 아키텍처를 보여줍니다.

소스 계정(다이어그램의 계정 A)에서 Step Functions 상태 시스템은 다음을 수행합니다.

대상 계정(다이어그램의 계정 B)에서 Lambda 함수는 Step Functions 상태 시스템을 실행하여 다음을 오케스트레이션합니다.

도구

AWS도구

코드

이 패턴의 코드는 계정 간 복제 리포지토리에서 사용할 수 있습니다. GitHub RDS

에픽

aws sns add-permission \
--label lambda-access --aws-account-id <DestinationAccount> \
--topic-arn <Arn of SNSTopic > \
--action-name Subscribe ListSubscriptionsByTopic 

aws lambda add-permission \
--function-name <Name of InvokeStepFunction> \
--source-arn <Arn of SNSTopic > \
--statement-id function-with-sns \
--action lambda:InvokeFunction \
--principal sns.amazonaws.com

aws sns subscribe \
--protocol "lambda" \
--topic-arn <Arn of SNSTopic> \
--notification-endpoint <Arn of InvokeStepFunction>

관련 리소스

추가 정보

다음 예제 정책을 사용하여 계정 간에 키를 공유할 수 있습니다. AWS KMS AWS

{
    "Version": "2012-10-17",
    "Id": "cross-account-rds-kms-key",
    "Statement": [
        {
            "Sid": "Enable user permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<SourceAccount>:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow administration of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<DestinationAccount>:root"
            },
            "Action": [
                "kms:Create*",
                "kms:Describe*",
                "kms:Enable*",
                "kms:List*",
                "kms:Put*",
                "kms:Update*",
                "kms:Revoke*",
                "kms:Disable*",
                "kms:Get*",
                "kms:Delete*",
                "kms:ScheduleKeyDeletion",
                "kms:CancelKeyDeletion"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::<DestinationAccount>:root",
                    "arn:aws:iam::<SourceAccount>:root"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*"
        }
    ]
}