Exportação de dados de snapshot de banco de dados para o Amazon S3 para Amazon RDS

1. Identifique o snapshot a ser exportado.

   Use um snapshot existente, manual ou automatizado, ou crie um snapshot manual de uma instância de banco de dados ou um cluster de banco de dados multi-AZ.

2. Configure o acesso ao bucket do Amazon S3.

   Um bucket é um contêiner de objetos ou arquivos do Amazon S3. Para fornecer informações para acesso a um bucket, execute as seguintes etapas:

   1. Identifique o bucket do S3 para o qual o snapshot deve ser exportado. O bucket do S3 deve estar na mesma região da AWS que o snapshot. Para ter mais informações, consulte Identificar o bucket do Amazon S3 para exportar.

   2. Crie uma função do AWS Identity and Access Management (IAM) que conceda à tarefa de exportação de snapshot acesso ao bucket do S3. Para ter mais informações, consulte Fornecer acesso a um bucket do Amazon S3 usando um perfil do IAM.

3. Crie uma criptografia simétrica do AWS KMS key para a criptografia do lado do servidor. A chave do KMS é usada pela tarefa de exportação de snapshot para configurar a criptografia do lado do servidor do AWS KMS ao gravar dados de exportação no S3.

   A política de chave do KMS deve incluir as permissões kms:CreateGrant e kms:DescribeKey. Para ter mais informações sobre o uso de chaves do KMS no Amazon RDS, consulte Gerenciamento de AWS KMS key.

   Além disso, se você tiver uma instrução de negação na política de chaves do KMS, exclua explicitamente a entidade principal de serviço da AWS export.rds.amazonaws.com.

   Você pode utilizar uma chave do KMS na sua conta do AWS ou pode utilizar uma chave do KMS entre contas. Para ter mais informações, consulte Uso de um AWS KMS key entre contas para criptografar exportações do Amazon S3.

4. Exporte o snapshot para o Amazon S3 usando o console ou o comando start-export-task da CLI. Para ter mais informações, consulte Exportar um snapshot de banco de dados para um bucket do Amazon S3.

5. Para acessar os seus dados exportados no bucket do Amazon S3, consulte Como carregar, baixar e gerenciar objetos no Guia do usuário do Amazon Simple Storage Service.

Como fornecer acesso ao Amazon S3 às tarefas de snapshot de banco de dados

1. Crie uma política do IAM. Essa política fornece as permissões de bucket e objeto que permitem que sua tarefa de exportação de snapshot acesse o Amazon S3.

   Nessa política, inclua as seguintes ações necessárias para permitir a transferência de arquivos do Amazon RDS para um bucket do S3:

   • s3:PutObject*

   • s3:GetObject*

   • s3:ListBucket

   • s3:DeleteObject*

   • s3:GetBucketLocation

   Na política, inclua os recursos a seguir para identificar o bucket do S3 e os objetos no bucket. A lista de recursos a seguir mostra o formato do nome de recurso da Amazon (ARN) para acessar o Amazon S3.

   • arn:aws:s3:::amzn-s3-demo-bucket

   • arn:aws:s3:::amzn-s3-demo-bucket/*

   Para ter mais informações sobre como criar uma política do IAM para o Amazon RDS, consulte Criar e usar uma política do IAM para acesso do banco de dados do IAM. Consulte também Tutorial: Criar e anexar sua primeira política gerenciada pelo cliente no Guia do usuário do IAM.

   O comando da AWS CLI a seguir cria uma política do IAM denominada ExportPolicy com essas opções. Ele concede acesso a um bucket denominado amzn-s3-demo-bucket.

   nota

   Depois de criar a política, anote o ARN da política. O ARN será necessário para uma etapa posterior, quando você anexar a política a um perfil do IAM.

   aws iam create-policy  --policy-name ExportPolicy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ExportPolicy",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject*",
                   "s3:ListBucket",
                   "s3:GetObject*",
                   "s3:DeleteObject*",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }'

2. Crie um perfil do IAM para que o Amazon RDS possa assumir esse perfil do IAM em seu nome a fim de acessar os buckets do Amazon S3. Para ter mais informações, consulte Criar um perfil para delegar permissões a um usuário do IAM no Guia do usuário do IAM.

   O exemplo a seguir mostra como usar o comando da AWS CLI para criar uma função chamada rds-s3-export-role.

   aws iam create-role  --role-name rds-s3-export-role  --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "export.rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole"
          }
        ] 
      }'

3. Anexe a política do IAM que você criou ao perfil do IAM que você criou.

   O seguinte comando da AWS CLI anexa a política criada anteriormente à função chamada rds-s3-export-role. Substitua your-policy-arn pelo ARN da política que você anotou em uma etapa anterior.

   aws iam attach-role-policy  --policy-arn your-policy-arn  --role-name rds-s3-export-role

Para utilizar uma chave do KMS entre contas

1. Adicione uma política de chaves à conta local.

   O exemplo a seguir concede a ExampleRole e ExampleUser na conta externa 444455556666 permissões na conta local 123456789012.

   {
       "Sid": "Allow an external account to use this KMS key",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "arn:aws:iam::444455556666:role/ExampleRole",
               "arn:aws:iam::444455556666:user/ExampleUser"
           ]
       },
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "*"
   }

2. Adicione políticas do IAM à conta externa.

   O seguinte exemplo de política do IAM permite que a entidade principal use a chave do KMS na conta 123456789012 para operações criptográficas. Para conceder essa permissão a ExampleRole e ExampleUser na conta 444455556666, vincule a política a eles nessa conta.

   {
       "Sid": "Allow use of KMS key in account 123456789012",
       "Effect": "Allow",
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
   }