계정 간에 Amazon Redshift 클러스터에서 Amazon S3로 데이터 언로드

PROD 계정에서에 로그인 AWS Management Console하고에서 Secrets Manager 콘솔을 엽니다 https://console.aws.amazon.com/secretsmanager/.

새 보안 암호 저장을 선택합니다.

Amazon Redshift 데이터 웨어하우스에 대한 자격 증명을 선택합니다.

사용자 이름 및 암호에 인스턴스의 값을 입력하고 암호화 키의 값을 확인하거나 선택합니다.

보안 암호가 액세스할 Amazon Redshift 데이터 웨어하우스를 선택합니다.

보안 암호 이름Redshift-Creds-Secret에를 입력합니다.

기본 선택 사항으로 나머지 생성 단계를 완료한 다음 저장을 선택합니다.

보안 암호를 보고 보안 암호를 ARN 식별하기 위해 생성된 보안 암호 값을 기록해 둡니다.

PROD 계정에서 IAM 콘솔을 엽니다 https://console.aws.amazon.com/iam/.

정책을 선택하세요.

정책 생성을 선택합니다.

JSON 탭을 선택한 다음 다음과 같은 IAM 정책을 입력합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetResourcePolicy",
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret",
                "secretsmanager:ListSecretVersionIds"
            ],
            "Resource": [
                "<Redshift-Creds-Secret-ARN>"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "secretsmanager:ListSecrets",
            "Resource": "*"
        }
    ]
}

Redshift-Creds-Secret-ARN를 Amazon Redshift 클러스터에 대한 정보와 자격 증명이 포함된 Secrets Manager 보안 암호의 Amazon 리소스 이름(ARN)으로 바꿉니다.

DEV 계정에서 IAM 콘솔을 엽니다.

 정책을 선택하세요.

정책 생성을 선택합니다.

 JSON 탭을 선택한 다음 다음과 같은 IAM 정책을 입력합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "kmsstmt",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": [
        "<kms-key-arn>"
      ]
    },
    {
      "Sid": "s3stmt",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:Get*",
        "s3:List*"
      ],
      "Resource": [
        "arn:aws:s3:::mybucket",
        "arn:aws:s3:::mybucket/*"
      ]
    }
  ]
}

mybucket를 액세스하려는 S3 버킷의 이름으로 바꿉니다. 또한 S3 버킷이 암호화된 경우를 S3 버킷을 암호화하는 데 사용되는 AWS Key Management Service (AWS KMS) 키ARN의 kms-key-arn로 바꿉니다. 그렇지 않으면 정책의 AWS KMS 섹션이 필요하지 않습니다.

정책 검토를 선택하고 정책 이름으로 S3-Write-Policy를 입력한 다음 정책 생성을 선택합니다.

탐색 창에서 Roles를 선택합니다.

 Create role(역할 생성)을 선택합니다.

신뢰할 수 있는 엔터티 역할에서 사용자 지정 신뢰 정책을 선택합니다.

다음: 권한을 선택한 다음 생성한 S3-Write-Policy 정책을 선택합니다.

역할 이름으로 S3-Write-Role를 입력한 다음 역할 생성을 선택합니다.

PROD 계정에서 IAM 콘솔을 엽니다.

정책을 선택하세요.

정책 생성을 선택합니다.

JSON 탭을 선택한 다음 다음과 같은 IAM 정책을 입력합니다.

{
    "Version": "2012-10-17",
    "Statement": [
            {
            "Sid": "CrossAccountPolicy",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "S3-Write-Role-ARN"
        }
    ]
}

DEV 계정S3-Write-Role의에 ARN 대해를 S3-Write-Role-ARN로 바꿉니다.

정책 검토를 선택하고 정책 이름으로 S3-Write-Role-Assume-Policy를 입력한 다음 정책 생성을 선택합니다.

탐색 창에서 역할을 선택한 후 역할 생성을 선택합니다.

신뢰할 수 있는 엔터티 유형으로 AWS 서비스를 선택한 다음 Redshift, Redshift - 사용자 지정 가능을 선택합니다.

다음: 권한을 선택한 다음 생성한 S3-Write-Role-Assume-Policy 정책을 선택합니다.

역할 이름으로 CrossAccount-S3-Write-Role를 입력한 다음 역할 생성을 선택합니다.

IAM 역할을 Amazon Redshift 클러스터와 연결합니다.

에서 Lambda 콘솔을 엽니다 https://console.aws.amazon.com/lambda/.

함수를 선택합니다.

함수 생성(Create function)을 선택합니다.

기본 정보(Basic information)에서 함수 이름(Function name)에 함수 이름을 입력합니다.

런타임에서 Python 3.8을 선택합니다.

기본 실행 역할 변경을 확장한 다음 다음을 수행합니다.

고급 설정을 확장하고 다음을 수행합니다.

함수 생성(Create function)을 선택합니다.

Lambda 함수에 psycopg2 라이브러리를 계층으로 추가합니다.

에서 AWS Lambda 콘솔을 엽니다 https://console.aws.amazon.com/lambda/.

생성한 Lambda 함수를 찾아 선택합니다.

작업을 선택한 후 삭제를 선택합니다.

삭제를 확인합니다.

IAM 콘솔을 엽니다.

다음 역할을 삭제합니다.

연결된 정책을 삭제합니다.

IAM 콘솔을 엽니다.

다음 역할을 삭제합니다.

연결된 정책을 삭제합니다.

PROD 계정에서 Secrets Manager 콘솔을 엽니다.

라는 보안 암호를 찾아 선택합니다Redshift-Creds-Secret.

[Actions]를 선택한 다음 [Delete secret]을 선택합니다.

삭제를 확인합니다.

PROD 계정에서에서 Amazon EC2 콘솔을 엽니다 https://console.aws.amazon.com/ec2/.

보안 그룹으로 이동합니다.

Amazon Redshift 클러스터에서 사용하는 보안 그룹을 찾습니다.

인바운드 규칙을 편집하고 DEV 계정의 Lambda에서 연결을 허용하는 규칙을 제거합니다VPC.

VPC 피어링 연결로 이동하여 피어링 연결을 삭제합니다.

DEV 계정에서 Amazon S3 콘솔을 엽니다 https://console.aws.amazon.com/s3/.

데이터 스토리지에 사용한 버킷을 찾습니다.

버킷 내의 객체를 삭제하거나 더 이상 필요하지 않은 경우 전체 버킷을 삭제합니다.

에서 AWS KMS 콘솔을 엽니다 https://console.aws.amazon.com/kms/.

이 패턴에 대해 생성된 키를 찾습니다.

삭제할 키를 예약합니다. (키 삭제를 위한 필수 대기 기간이 있습니다.)

에서 CloudWatch 콘솔을 엽니다 https://console.aws.amazon.com/cloudwatch/.

Lambda 함수 또는 Amazon Redshift 클러스터에서 생성한 로그 그룹이 있는지 확인합니다.

더 이상 필요하지 않은 경우 이러한 로그 그룹을 삭제합니다.