계정 간에 Amazon Redshift 클러스터에서 Amazon S3로 데이터 언로드

PROD 계정에서 에 로그인 AWS Management Console하고 에서 Secrets Manager 콘솔을 엽니다 https://console.aws.amazon.com/secretsmanager/.

새 보안 암호 저장을 선택합니다.

Amazon Redshift 데이터 웨어하우스 에 대한 자격 증명을 선택합니다.

사용자 이름 및 암호 에 인스턴스 값을 입력하고 암호화 키 의 값을 확인하거나 선택합니다.

보안 암호가 액세스할 Amazon Redshift 데이터 웨어하우스를 선택합니다.

보안 암호 이름Redshift-Creds-Secret에 를 입력합니다.

기본 선택 사항으로 나머지 생성 단계를 완료한 다음 저장을 선택합니다.

보안 암호를 보고 보안 암호를 ARN 식별하기 위해 생성된 보안 암호 값을 기록해 둡니다.

PROD 계정에서 에서 IAM 콘솔을 엽니다 https://console.aws.amazon.com/iam/.

정책을 선택하세요.

정책 생성을 선택합니다.

JSON 탭을 선택한 다음 다음과 같은 IAM 정책을 입력합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetResourcePolicy",
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret",
                "secretsmanager:ListSecretVersionIds"
            ],
            "Resource": [
                "<Redshift-Creds-Secret-ARN>"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "secretsmanager:ListSecrets",
            "Resource": "*"
        }
    ]
}

Redshift-Creds-Secret-ARN 를 Amazon Redshift 클러스터에 대한 정보와 보안 인증 정보가 포함된 Secrets Manager 보안 암호의 Amazon 리소스 이름(ARN)으로 바꿉니다.

DEV 계정에서 IAM 콘솔을 엽니다.

 정책을 선택하세요.

정책 생성을 선택합니다.

 JSON 탭을 선택한 다음 다음과 같은 IAM 정책을 입력합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "kmsstmt",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": [
        "<kms-key-arn>"
      ]
    },
    {
      "Sid": "s3stmt",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:Get*",
        "s3:List*"
      ],
      "Resource": [
        "arn:aws:s3:::mybucket",
        "arn:aws:s3:::mybucket/*"
      ]
    }
  ]
}

mybucket 를 액세스하려는 S3 버킷의 이름으로 바꿉니다. 또한 S3 버킷이 암호화된 경우 S3 버킷을 암호화하는 데 사용되는 AWS Key Management Service (AWS KMS) 키ARN의 kms-key-arn로 를 바꿉니다. 그렇지 않으면 정책의 AWS KMS 섹션이 필요하지 않습니다.

정책 검토를 선택하고 정책 이름으로 S3-Write-Policy를 입력한 다음 정책 생성 을 선택합니다.

탐색 창에서 Roles를 선택합니다.

 Create role(역할 생성)을 선택합니다.

신뢰할 수 있는 엔터티 역할에서 사용자 지정 신뢰 정책 을 선택합니다.

다음: 권한 을 선택한 다음 생성한 S3-Write-Policy 정책을 선택합니다.

역할 이름으로 S3-Write-Role를 입력한 다음 역할 생성 을 선택합니다.

PROD 계정에서 IAM 콘솔을 엽니다.

정책을 선택하세요.

정책 생성을 선택합니다.

JSON 탭을 선택한 다음 다음과 같은 IAM 정책을 입력합니다.

{
    "Version": "2012-10-17",
    "Statement": [
            {
            "Sid": "CrossAccountPolicy",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "S3-Write-Role-ARN"
        }
    ]
}

DEV 계정S3-Write-Role의 에 ARN 대해 를 S3-Write-Role-ARN로 바꿉니다.

정책 검토를 선택하고 정책 이름으로 S3-Write-Role-Assume-Policy를 입력한 다음 정책 생성 을 선택합니다.

탐색 창에서 역할을 선택한 후 역할 생성을 선택합니다.

신뢰할 수 있는 엔터티 유형으로 AWS 서비스를 선택한 다음 Redshift , Redshift - 사용자 지정 가능 을 선택합니다.

다음: 권한 을 선택한 다음 생성한 S3-Write-Role-Assume-Policy 정책을 선택합니다.

역할 이름으로 CrossAccount-S3-Write-Role를 입력한 다음 역할 생성 을 선택합니다.

IAM 역할을 Amazon Redshift 클러스터와 연결합니다.

에서 Lambda 콘솔을 엽니다 https://console.aws.amazon.com/lambda/.

함수를 선택합니다.

함수 생성(Create function)을 선택합니다.

기본 정보(Basic information)에서 함수 이름(Function name)에 함수 이름을 입력합니다.

런타임 에서 Python 3.8을 선택합니다.

기본 실행 역할 변경을 확장한 다음 다음을 수행합니다.

고급 설정 을 확장하고 다음을 수행합니다.

함수 생성(Create function)을 선택합니다.

Lambda 함수에 psycopg2 라이브러리를 계층으로 추가합니다.

참고: psycopg2-lambda-layer 리포지토리에서 이미 배포된 계층을 사용할 수 있습니다. AWS 리전 및 Python 런타임을 URL 기반으로 를 사용해야 합니다.

에서 AWS Lambda 콘솔을 엽니다 https://console.aws.amazon.com/lambda/.

생성한 Lambda 함수를 찾아 선택합니다.

작업을 선택한 후 삭제를 선택합니다.

삭제를 확인합니다.

IAM 콘솔을 엽니다.

다음 역할을 삭제합니다.

연결된 정책을 삭제합니다.

IAM 콘솔을 엽니다.

다음 역할을 삭제합니다.

연결된 정책을 삭제합니다.

PROD 계정에서 Secrets Manager 콘솔을 엽니다.

라는 보안 암호를 찾아 선택합니다Redshift-Creds-Secret.

[Actions]를 선택한 다음 [Delete secret]을 선택합니다.

삭제를 확인합니다.

PROD 계정에서 에서 Amazon EC2 콘솔을 엽니다 https://console.aws.amazon.com/ec2/.

보안 그룹 으로 이동합니다.

Amazon Redshift 클러스터에서 사용하는 보안 그룹을 찾습니다.

인바운드 규칙을 편집하고 DEV 계정의 Lambda 에서 연결을 허용하는 규칙을 제거합니다VPC.

VPC 피어링 연결 로 이동하여 피어링 연결을 삭제합니다.

DEV 계정에서 에서 Amazon S3 콘솔을 엽니다 https://console.aws.amazon.com/s3/.

데이터 스토리지에 사용한 버킷을 찾습니다.

버킷 내의 객체를 삭제하거나 더 이상 필요하지 않은 경우 전체 버킷을 삭제합니다.

에서 AWS KMS 콘솔을 엽니다 https://console.aws.amazon.com/kms/.

이 패턴에 대해 생성된 키를 찾습니다.

삭제할 키를 예약합니다. (키 삭제를 위한 필수 대기 기간이 있습니다.)

에서 CloudWatch 콘솔을 엽니다 https://console.aws.amazon.com/cloudwatch/.

Lambda 함수 또는 Amazon Redshift 클러스터에서 생성한 로그 그룹이 있는지 확인합니다.

이러한 로그 그룹이 더 이상 필요하지 않은 경우 삭제합니다.