Clonar entre contas com o AWS RAM e Amazon Aurora

Para conceder permissão para clonar o cluster

1. Faça login no AWS Management Console e abra o console do Amazon RDS em https://console.aws.amazon.com/rds/.

2. No painel de navegação, escolha Databases (Bancos de dados).

3. Escolha o cluster de banco de dados que deseja compartilhar para ver a página Details (Detalhes) e escolha a guia Connectivity & security (Conectividade e segurança).

4. Na seção Compartilhar cluster de banco de dados com outras contas da AWS, insira o ID numérico da conta da AWS que deseja autorizar para clonar esse cluster. Para IDs de conta na mesma organização, você pode começar digitando na caixa e escolher a opção no menu.

   Importante

   Em alguns casos, convém não ter uma conta na mesma organização da AWS que sua conta para clonar um cluster. Nesses casos, por motivos de segurança, o console não relata que possui esse ID de conta ou se a conta existe.

   Tome cuidado ao inserir números de conta que não estão na mesma organização da AWS que sua conta da AWS. Verifique imediatamente se você compartilhou com a conta desejada.

5. Na página de confirmação, verifique se o ID da conta especificado está correto. Insira share na caixa de confirmação para confirmar.

   Na página Details (Detalhes), uma entrada exibe o ID da conta da AWS especificado em Accounts that this DB cluster is shared with (Contas com as quais esse cluster de banco de dados está compartilhado). A coluna Status mostra inicialmente o status Pending (Pendente).

6. Entre em contato com o proprietário da outra conta da AWS ou faça login nessa conta, se for proprietário das duas. Instrua o proprietário da outra conta a aceitar o convite de compartilhamento e clonar o cluster de banco de dados, conforme descrito a seguir.

Para conceder permissão para clonar o cluster

1. Colete as informações para os parâmetros obrigatórios. Você precisa do ARN do cluster e do ID numérico da outra conta da AWS.

2. Execute o comando da CLI do AWS RAM create-resource-share.

   Para Linux, macOS ou Unix:

   aws ram create-resource-share --name descriptive_name \
     --region region \
     --resource-arns cluster_arn \
     --principals other_account_ids
   

   Para Windows:

   aws ram create-resource-share --name descriptive_name ^
     --region region ^
     --resource-arns cluster_arn ^
     --principals other_account_ids
   

   Para incluir vários IDs de conta para o parâmetro --principals, separe os IDs de cada uma com espaços. Para especificar se os IDs de conta permitidos podem estar fora da sua organização da AWS, inclua o parâmetro --allow-external-principals ou --no-allow-external-principals para create-resource-share.

Para conceder permissão para clonar o cluster

1. Colete as informações para os parâmetros obrigatórios. Você precisa do ARN do cluster e do ID numérico da outra conta da AWS.

2. Chame a operação de API do AWS RAM CreateResourceShare e especifique os seguintes valores:

   • Especifique o ID de uma ou mais contas da AWS como o parâmetro principals.

   • Especifique o ARN de um ou mais clusters de banco de dados do Aurora como o parâmetro resourceArns.

   • Especifique se os IDs de conta permitidos podem estar fora de sua organização da AWS, incluindo um valor booliano para o parâmetro allowExternalPrincipals.

Para descobrir se um cluster seu está compartilhado com outras contas da AWS

• Execute o comando da CLI do AWS RAM list-principals usando o ID da conta como o proprietário do recurso e o ARN do cluster como o ARN do recurso. Você pode ver todos os compartilhamentos com o seguinte comando. Os resultados indicam quais contas da AWS têm permissão para clonar o cluster.

  aws ram list-principals \
      --resource-arns your_cluster_arn \
      --principals your_aws_id
  

Para descobrir se um cluster seu está compartilhado com outras contas da AWS

• Chame a operação de API do AWS RAM ListPrincipals. Use o ID da conta como o proprietário do recurso e o ARN do cluster como o ARN do recurso.

Para ver convites para clonar clusters de propriedade de outras contas da AWS

1. Execute o comando da CLI do AWS RAM get-resource-share-invitations.

   aws ram get-resource-share-invitations --region region_name
   

   Os resultados do comando anterior mostram todos os convites para clonar clusters, incluindo aqueles que você já aceitou ou rejeitou.

2. (Opcional) Filtre a lista para ver apenas os convites que precisam de alguma ação da sua parte. Para fazer isso, adicione o parâmetro --query 'resourceShareInvitations[?status==`PENDING`]'.

Para ver convites para clonar clusters de propriedade de outras contas da AWS

1. Chame a operação da API do AWS RAM GetResourceShareInvitations. Essa operação retorna todos esses convites, incluindo aqueles que você já aceitou ou rejeitou.

2. (Opcional) Encontre apenas os convites que precisam de alguma ação da sua parte procurando no campo de retorno resourceShareAssociations o valor de status como PENDING.

Para aceitar um convite para compartilhar um cluster de outra conta da AWS

1. Encontre o ARN do convite executando o comando da CLI do AWS RAM get-resource-share-invitations, conforme mostrado antes.

2. Aceite o convite chamando o comando da CLI do AWS RAM accept-resource-share-invitation, conforme mostrado a seguir.

   Para Linux, macOS ou Unix:

   aws ram accept-resource-share-invitation \
     --resource-share-invitation-arn invitation_arn \
     --region region
   

   Para Windows:

   aws ram accept-resource-share-invitation ^
     --resource-share-invitation-arn invitation_arn ^
     --region region
   

Para aceitar convites para compartilhar o cluster de alguém

1. Encontre o ARN do convite chamando a operação de API do AWS RAM GetResourceShareInvitations, conforme mostrado antes.

2. Transmita esse ARN como o parâmetro resourceShareInvitationArn para a operação de API do RDS AcceptResourceShareInvitation.

Para clonar um cluster do Aurora de propriedade de outra conta da AWS

1. Faça login no AWS Management Console e abra o console do Amazon RDS em https://console.aws.amazon.com/rds/.

2. No painel de navegação, escolha Databases (Bancos de dados).

   Na parte posterior da lista de bancos de dados, você deve ver um ou mais itens com o valor de Role (Função) igual a Shared from account #account_id. Por motivos de segurança, você pode ver apenas informações limitadas sobre os clusters originais. As propriedades que podem ser vistas são aquelas como mecanismo de banco de dados e versão que devem ser iguais aos do cluster clonado.

3. Escolha o cluster que você pretende clonar.

4. Em Actions (Ações), escolha Create alias (Criar alias).

5. Siga o procedimento descrito em Console para terminar de configurar o cluster clonado.

6. Conforme necessário, ative a criptografia para o cluster clonado. Se o cluster que estiver sendo clonado for criptografado, você deverá ativar a criptografia para o cluster clonado. A conta da AWS que compartilhou o cluster com você também deve compartilhar a chave do KMS que foi usada para criptografar o cluster. Você pode usar a mesma chave do KMS para criptografar o clone ou a sua própria chave do KMS. Não é possível criar um clone entre contas de um cluster que é criptografado com a chave do KMS padrão.

   A conta proprietária da chave de criptografia deve conceder permissão para usar a chave para a conta de destino usando uma política de chave. Esse processo é semelhante a como os snapshots criptografados são compartilhados, usando uma política de chave que concede permissão para a conta de destino usar a chave.

Para clonar um cluster do Aurora de propriedade de outra conta da AWS

1. Aceite o convite da conta da AWS que tem o cluster de banco de dados, conforme mostrado antes.

2. Clone o cluster especificando o ARN completo do cluster de origem no parâmetro source-db-cluster-identifier do comando da CLI do RDS restore-db-cluster-to-point-in-time, conforme mostrado a seguir.

   Se o ARN transmitido como o source-db-cluster-identifier não tiver sido compartilhado, o mesmo erro será retornado como se o cluster especificado não existisse.

   Para Linux, macOS ou Unix:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time
   

   Para Windows:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time
   

3. Se o cluster que está sendo clonado for criptografado, criptografe o cluster clonado incluindo um parâmetro kms-key-id. Esse valor de kms-key-id pode ser igual ao usado para criptografar o cluster de banco de dados original ou sua própria chave do KMS. Sua conta deve ter permissão para usar essa chave de criptografia.

   Para Linux, macOS ou Unix:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time \
     --kms-key-id=arn:aws:kms:arn_details
   

   Para Windows:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time ^
     --kms-key-id=arn:aws:kms:arn_details
   

   A conta proprietária da chave de criptografia deve conceder permissão para usar a chave para a conta de destino usando uma política de chave. Esse processo é semelhante a como os snapshots criptografados são compartilhados, usando uma política de chave que concede permissão para a conta de destino usar a chave. Veja a seguir um exemplo de uma política de chave.

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

Para clonar um cluster do Aurora de propriedade de outra conta da AWS

1. Aceite o convite da conta da AWS que tem o cluster de banco de dados, conforme mostrado antes.

2. Clone o cluster especificando o ARN completo do cluster de origem no parâmetro SourceDBClusterIdentifier da operação de API do RDS RestoreDBClusterToPointInTime.

   Se o ARN transmitido como o SourceDBClusterIdentifier não tiver sido compartilhado, o mesmo erro será retornado como se o cluster especificado não existisse.

3. Se o cluster que está sendo clonado for criptografado, inclua um parâmetro KmsKeyId para criptografar o cluster clonado. Esse valor de kms-key-id pode ser igual ao usado para criptografar o cluster de banco de dados original ou sua própria chave do KMS. Sua conta deve ter permissão para usar essa chave de criptografia.

   Ao clonar um volume, a conta de destino deve ter permissão para usar a chave de criptografia usada para criptografar o cluster de origem. O Aurora criptografa o novo cluster clonado com a chave de criptografia especificada em KmsKeyId.

   A conta proprietária da chave de criptografia deve conceder permissão para usar a chave para a conta de destino usando uma política de chave. Esse processo é semelhante a como os snapshots criptografados são compartilhados, usando uma política de chave que concede permissão para a conta de destino usar a chave. Veja a seguir um exemplo de uma política de chave.

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

Para verificar se um cluster de banco de dados é um clone entre contas

• Chame o comando da CLI do RDS describe-db-clusters.

  O exemplo a seguir mostra como clusters de banco de dados de clones entre contas reais ou em potencial aparecem na saída describe-db-clusters. Para os clusters existentes de propriedade da sua conta da AWS, o campo CrossAccountClone indica se o cluster é um clone de um cluster de banco de dados que é de propriedade de outra conta da AWS.

  Em alguns casos, uma entrada pode ter um número de conta da AWS diferente do seu no campo DBClusterArn. Nesse caso, essa entrada representa um cluster que é de propriedade de outra conta da AWS e que você pode clonar. Essas entradas têm alguns campos diferentes de DBClusterArn. Ao criar o cluster clonado, especifique os mesmos valores de StorageEncrypted, Engine e EngineVersion do cluster original.

  $aws rds describe-db-clusters --include-shared --region us-east-1
  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0
    ]
  }
  

Para verificar se um cluster de banco de dados é um clone entre contas

• Chame a operação de API do RDS DescribeDBClusters.

  Para os clusters existentes de propriedade da sua conta da AWS, o campo CrossAccountClone indica se o cluster é um clone de um cluster de banco de dados que é de propriedade de outra conta da AWS. As entradas com um número de conta da AWS diferente no campo DBClusterArn representam clusters que você pode clonar e que são de propriedade de outras contas da AWS. Essas entradas têm alguns campos diferentes de DBClusterArn. Ao criar o cluster clonado, especifique os mesmos valores de StorageEncrypted, Engine e EngineVersion do cluster original.

  O exemplo a seguir mostra um valor de retorno que demonstra clusters clonados reais e em potencial.

  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0"
        }
    ]
  }