Automatizar cópias de snapshots entre contas com o Data Lifecycle Manager

Abra o AWS KMS console em https://console.aws.amazon.com/kms.

Para alterar o Região da AWS, use o seletor de região no canto superior direito da página.

No painel de navegação, escolha Chave gerenciada pelo cliente e selecione a KMS chave que você precisa compartilhar com as contas de destino.

Anote a KMS chaveARN, você precisará dela mais tarde.

Na guia Key policy (Política de chaves), role para baixo até a seção Key users (Usuários chave). Escolha Adicionar, insira o nome da IAM função que você selecionou na etapa anterior e escolha Adicionar.

Na guia Key policy (Política de chaves), role para a seção Other AWS accounts (Outras contas da ). Escolha Adicionar outras AWS contas e, em seguida, adicione todas as AWS contas de destino com as quais você escolheu compartilhar os instantâneos na etapa anterior.

Escolha Salvar alterações.

Abra o EC2 console da Amazon em https://console.aws.amazon.com/ec2/.

No painel de navegação, selecione Elastic Block Store, Lifecycle Manager ((Gerenciador de ciclo de vida) e Create snapshot lifecycle policy (Criar política de ciclo de vida de snapshot).

Na tela Select policy type (Selecionar tipo de política), escolha Cross-account copy event policy (Cópia de política de eventos entre contas) e depois Next (Próximo).

Em Policy description (Descrição da política), insira uma breve descrição da política.

Em Policy tags (Etiquetas de políticas), adicione as etiquetas a serem aplicadas na política de ciclo de vida. É possível usar essas etiquetas para identificar e categorizar suas políticas.

Na seção Event settings (Configurações de evento), defina o evento de compartilhamento de snapshots que fará com que a política seja executada. Faça o seguinte:

1. Em Contas de compartilhamento, especifique as AWS contas de origem das quais você deseja copiar os instantâneos compartilhados. Escolha Adicionar conta, insira o ID da AWS conta de 12 dígitos e escolha Adicionar.

2. Em Filter by description (Filtrar por descrição), insira a descrição necessária do snapshot usando uma expressão regular. Somente os snapshots que são compartilhados pelas contas de origem especificadas e que tenham descrições que correspondam ao filtro especificado são copiados pela política. Para obter mais informações, consulte Especificar filtros de descrição de snapshot.

Em IAMfunção, escolha a IAM função que tem permissões para realizar ações de cópia instantânea. Para usar a função padrão fornecida pelo Amazon Data Lifecycle Manager, escolha Default role (Função padrão). Como alternativa, para usar um IAM papel personalizado que você criou anteriormente, escolha Escolher outro papel e selecione o papel a ser usado.

Se você estiver copiando instantâneos criptografados, deverá conceder à IAM função selecionada permissões para usar a KMS chave de criptografia usada para criptografar o volume de origem. Da mesma forma, se você estiver criptografando o snapshot na região de destino usando uma KMS chave diferente, deverá conceder permissão à IAM função para usar a chave de destinoKMS. Para obter mais informações, consulte Etapa 4: permitir que a IAM função use as KMS chaves necessárias (conta de destino).

Na seção Copy action (Copiar ação), defina as ações de cópia de snapshots que a política deve executar quando for ativada. A política pode copiar snapshots para até três regiões. Especifique uma regra de cópia separada para cada região de destino. Para cada regra que você adicionar, faça o seguinte:

1. Para Name (Nome), insira um nome descritivo para a ação de cópia.

2. Em Target Region (Região de destino), selecione a região para a qual deseja copiar os snapshots.

3. Em Expire, especifique por quanto tempo manter as cópias de snapshot na região de destino após a criação.

4. Para criptografar a cópia do snapshot, Em Encryption (Criptografia), selecione Enable encryption (Habilitar criptografia). Se o snapshot de origem estiver criptografado ou se a criptografia por padrão estiver habilitada para a sua conta, a cópia do snapshot será sempre criptografada, mesmo que você não habilite a criptografia aqui. Se o snapshot de origem não estiver criptografado e a criptografia por padrão não estiver habilitada para sua conta, será possível optar por ativar ou desativar a criptografia. Se você ativar a criptografia, mas não especificar uma KMS chave, os instantâneos serão criptografados usando a KMS chave de criptografia padrão em cada região de destino. Se você especificar uma KMS chave para a região de destino, deverá ter acesso à KMS chave.

Para adicionar outras ações de cópia de snapshot, escolha Add New Regions (Adicionar novas regiões).

Em Policy status after creation (Status da política após a criação), selecione Enable policy (Habilitar política) para iniciar as execuções da política no próximo horário agendado ou Disable policy (Desabilitar política) para impedir que a política seja executada. Se você não habilitar a política agora, ela não começará a copiar snapshots até que você a ative manualmente após a criação.

Escolha Create policy (Criar política).

Abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação, selecione Settings (Configurações). Pesquise e selecione a IAM função que você selecionou ao criar a política de eventos de cópia entre contas na etapa anterior. Se você optar por usar a função padrão, a função será nomeada AWSDataLifecycleManagerDefaultRole.

Escolha Adicionar política em linha e, em seguida, selecione a JSONguia.

Substitua a política existente pela seguinte e especifique a ARN KMS chave usada para criptografar os volumes de origem e que foi compartilhada com você pela conta de origem na Etapa 2.

No exemplo a seguir, a política concede à IAM função permissão para usar a KMS chave1234abcd-12ab-34cd-56ef-1234567890ab, que foi compartilhada pela conta de origem111111111111, e a KMS chave4567dcba-23ab-34cd-56ef-0987654321yz, que existe na conta de destino222222222222.

 {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:RevokeGrant",
                "kms:CreateGrant",
                "kms:ListGrants"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111111111111:key/1234abcd-12ab-34cd-56ef-1234567890ab",
                "arn:aws:kms:us-east-1:222222222222:key/4567dcba-23ab-34cd-56ef-0987654321yz"		
            ],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111111111111:key/1234abcd-12ab-34cd-56ef-1234567890ab",
                "arn:aws:kms:us-east-1:222222222222:key/4567dcba-23ab-34cd-56ef-0987654321yz"
            ]
        }
    ]
}

Escolha Review policy (Revisar política)

Para Name (Nome), insira um nome descritivo para a política e escolha Create policy (Criar política).