Automatize a replicação de RDS instâncias da Amazon em todas as contas AWS

Criado por Parag Nagwekar (AWS) e Arun Chandapillai () AWS

Resumo

Esse padrão mostra como automatizar o processo de replicação, rastreamento e reversão de suas instâncias de banco de dados do Amazon Relational Database Service (AmazonRDS) em diferentes AWS contas usando Step AWS Functions e Lambda. AWS Você pode usar essa automação para realizar a replicação em grande escala de instâncias de RDS banco de dados sem nenhum impacto no desempenho ou sobrecarga operacional, independentemente do tamanho da sua organização. Você também pode usar esse padrão para ajudar sua organização a cumprir as estratégias obrigatórias de governança de dados ou os requisitos de conformidade que exigem que seus dados sejam replicados e redundantes em diferentes AWS contas e regiões. AWS A replicação entre contas de RDS dados da Amazon em grande escala é um processo manual ineficiente e propenso a erros que pode ser caro e demorado, mas a automação nesse padrão pode ajudá-lo a obter a replicação entre contas com segurança, eficácia e eficiência.

Pré-requisitos e limitações

Pré-requisitos

Versões do produto

Arquitetura

Pilha de tecnologia

Arquitetura de destino

O diagrama a seguir mostra uma arquitetura para usar o Step Functions para orquestrar a replicação programada e sob demanda de instâncias de RDS banco de dados de uma conta de origem (conta A) para uma conta de destino (conta B).

Na conta de origem (conta A no diagrama), a máquina de estado Step Functions executa o seguinte:

Na conta de destino (conta B no diagrama), a função do Lambda executa a máquina de estado Step Functions para orquestrar o seguinte:

Ferramentas

AWSferramentas

Código

O código desse padrão está disponível no repositório GitHub Crossaccount RDS Replication.

Épicos

aws sns add-permission \
--label lambda-access --aws-account-id <DestinationAccount> \
--topic-arn <Arn of SNSTopic > \
--action-name Subscribe ListSubscriptionsByTopic 

aws lambda add-permission \
--function-name <Name of InvokeStepFunction> \
--source-arn <Arn of SNSTopic > \
--statement-id function-with-sns \
--action lambda:InvokeFunction \
--principal sns.amazonaws.com

aws sns subscribe \
--protocol "lambda" \
--topic-arn <Arn of SNSTopic> \
--notification-endpoint <Arn of InvokeStepFunction>

Recursos relacionados

Mais informações

Você pode usar o exemplo de política a seguir para compartilhar sua AWS KMS chave entre AWS contas.

{
    "Version": "2012-10-17",
    "Id": "cross-account-rds-kms-key",
    "Statement": [
        {
            "Sid": "Enable user permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<SourceAccount>:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow administration of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<DestinationAccount>:root"
            },
            "Action": [
                "kms:Create*",
                "kms:Describe*",
                "kms:Enable*",
                "kms:List*",
                "kms:Put*",
                "kms:Update*",
                "kms:Revoke*",
                "kms:Disable*",
                "kms:Get*",
                "kms:Delete*",
                "kms:ScheduleKeyDeletion",
                "kms:CancelKeyDeletion"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::<DestinationAccount>:root",
                    "arn:aws:iam::<SourceAccount>:root"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*"
        }
    ]
}