将 Amazon RDS 的数据库快照数据导出到 Amazon S3

1. 确定要导出的快照。

   使用现有的自动快照或手动快照，或创建数据库实例或多可用区数据库集群的手动快照。

2. 设置对 Amazon S3 存储桶的访问权限。

   存储桶是 Amazon S3 对象或文件的容器。要提供访问存储桶的信息，请执行以下步骤：

   1. 标识要将快照导出到的 S3 存储桶。S3 存储桶必须与快照位于同一 AWS 区域。有关更多信息，请参阅 标识要导出到的 Amazon S3 存储桶。

   2. 创建一个 AWS Identity and Access Management (IAM) 角色，用于授予快照导出任务对 S3 存储桶的访问权限。有关更多信息，请参阅 使用 IAM 角色提供对 Amazon S3 存储桶的访问权限。

3. 创建对称加密 AWS KMS key 以进行服务器端加密。快照导出任务使用 KMS 密钥在将导出数据写入 S3 时设置 AWS KMS 服务器端加密。

   KMS 密钥策略必须同时包含 kms:CreateGrant 和 kms:DescribeKey 权限。有关在 Amazon RDS 中使用 KMS 密钥的更多信息，请参阅AWS KMS key 管理。

   如果 KMS 密钥策略中有拒绝语句，则确保显式排除 AWS 服务主体 export.rds.amazonaws.com。

   您可以在您的 AWS 账户内使用 KMS 密钥，或者您可以使用跨账户 KMS 密钥。有关更多信息，请参阅 使用跨账户 AWS KMS key 加密 Amazon S3 导出的内容。

4. 使用控制台或 start-export-task CLI 命令将快照导出到 Amazon S3。有关更多信息，请参阅 将数据库快照导出到 Amazon S3 桶。

5. 要访问 Amazon S3 存储桶中导出的数据，请参阅 Amazon Simple Storage Service 用户指南中的上传、下载和管理对象。

授予数据库快照任务访问 Amazon S3 的权限

1. 创建一个 IAM 策略。此策略提供允许快照导出任务访问 Amazon S3 的存储桶和对象权限。

   在策略中包含以下必需操作，以允许将文件从 Amazon RDS 桶传输到 S3 桶：

   • s3:PutObject*

   • s3:GetObject*

   • s3:ListBucket

   • s3:DeleteObject*

   • s3:GetBucketLocation

   在策略中，包含以下资源以标识 S3 桶以及该桶中的对象。以下资源列表显示用于访问 Amazon S3 的 Amazon Resource Name (ARN) 格式。

   • arn:aws:s3:::amzn-s3-demo-bucket

   • arn:aws:s3:::amzn-s3-demo-bucket/*

   有关为 Amazon RDS 创建 IAM 策略的更多信息，请参阅创建和使用适用于 IAM 数据库访问的 IAM 策略。另请参阅 IAM 用户指南中的教程：创建和附加您的第一个客户托管式策略。

   以下 AWS CLI 命令使用这些选项创建一个名为 ExportPolicy 的 IAM 策略。该策略授予对名为 amzn-s3-demo-bucket 的存储桶的访问权限。

   注意

   创建策略后，请记下策略的 ARN。在将策略附加到 IAM 角色时，您在后面的步骤中需要使用 ARN。

   aws iam create-policy  --policy-name ExportPolicy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ExportPolicy",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject*",
                   "s3:ListBucket",
                   "s3:GetObject*",
                   "s3:DeleteObject*",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }'

2. 创建一个 IAM 角色，以便 Amazon RDS 可以代入该 IAM 角色，代表您访问 Amazon S3 桶。有关更多信息，请参阅 IAM 用户指南中的创建向 IAM 用户委派权限的角色。

   以下示例说明了如何使用 AWS CLI 命令创建一个名为 rds-s3-export-role 的角色。

   aws iam create-role  --role-name rds-s3-export-role  --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "export.rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole"
          }
        ] 
      }'

3. 将您创建的 IAM 策略附加到您创建的 IAM 角色。

   以下 AWS CLI 命令将之前创建的策略附加到名为 rds-s3-export-role 的角色。将 your-policy-arn 替换为您在先前步骤中记下的策略 ARN。

   aws iam attach-role-policy  --policy-arn your-policy-arn  --role-name rds-s3-export-role

要使用跨账户 KMS 密钥

1. 向本地账户添加密钥策略。

   以下示例为外部账户 444455556666 中的 ExampleRole 和 ExampleUser 提供了内部账户 123456789012 中的权限。

   {
       "Sid": "Allow an external account to use this KMS key",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "arn:aws:iam::444455556666:role/ExampleRole",
               "arn:aws:iam::444455556666:user/ExampleUser"
           ]
       },
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "*"
   }

2. 在外部账户中添加 IAM 策略。

   以下示例 IAM 策略允许主体使用账户 123456789012 中的 KMS 密钥执行加密操作。要向账户 444455556666 中的 ExampleRole 和 ExampleUser 授予此权限，请将策略附加到该账户中的用户或角色。

   {
       "Sid": "Allow use of KMS key in account 123456789012",
       "Effect": "Allow",
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
   }