將資料庫快照資料匯出至 Amazon RDS 的 Amazon S3

1. 識別要匯出的快照

   使用現有的自動或手動快照，或建立資料庫執行個體或多可用區域資料庫叢集的手動快照。

2. 設定對 Amazon S3 儲存貯體的存取。

   「儲存貯體」是 Amazon S3 物件或檔案的容器。如要提供存取儲存貯體的資訊，請採取下列步驟：

   1. 識別要匯出快照的目標 S3 儲存貯體。S3 儲存貯體必須與快照位於相同的 AWS 區域。如需詳細資訊，請參閱識別要匯出的 Amazon S3 儲存貯體。

   2. 建立 AWS Identity and Access Management (IAM) 角色，將快照匯出任務存取權授予 S3 儲存貯體。如需詳細資訊，請參閱使用 IAM 角色提供對 Amazon S3 儲存貯體的存取權。

3. 為 AWS KMS key 伺服器端加密建立對稱加密。快照匯出任務會使用 KMS 金鑰，在將匯出資料寫入 S3 時設定 AWS KMS 伺服器端加密。

   KMS 金鑰政策必須同時包含 kms:CreateGrant 和 kms:DescribeKey 許可。如需在 Amazon RDS 中使用 KMS 金鑰的詳細資訊，請參閱 AWS KMS key 管理。

   如果您的 KMS 金鑰政策中有拒絕陳述式，請務必明確排除 AWS 服務主體 export.rds.amazonaws.com。

   您可以在 AWS 帳戶中使用 KMS 金鑰，也可以使用跨帳戶 KMS 金鑰。如需詳細資訊，請參閱使用跨帳戶 AWS KMS key 加密 Amazon S3 匯出。

4. 使用主控台或 start-export-task CLI 命令將快照匯出至 Amazon S3。如需詳細資訊，請參閱將資料庫快照匯出至 Amazon S3 儲存貯體。

5. 若要存取 Amazon S3 儲存貯體中您匯出的資料，請參閱《Amazon Simple Storage Service 使用者指南》中的上傳、下載及管理物件。

給予資料庫快照任務對 Amazon S3 的存取權限

1. 建立 IAM 政策。此政策會提供儲存貯體和物件許可，允許您的快照匯出任務存取 Amazon S3。

   在政策中，包含下列必要動作，允許將檔案從 Amazon RDS 傳輸至 S3 儲存貯體：

   • s3:PutObject*

   • s3:GetObject*

   • s3:ListBucket

   • s3:DeleteObject*

   • s3:GetBucketLocation

   在政策中，包含下列資源，以識別 S3 儲存貯體和該儲存貯體中的物件。以下資源清單會顯示用於存取 Amazon S3 的 Amazon Resource Name (ARN) 格式。

   • arn:aws:s3:::amzn-s3-demo-bucket

   • arn:aws:s3:::amzn-s3-demo-bucket/*

   如需為 Amazon RDS 建立 IAM 政策的詳細資訊，請參閱 建立並使用 IAM 政策進行 IAM 資料庫存取。另請參閱《IAM 使用者指南》中的教學：建立和連接您的第一個客戶受管原則。

   下列 AWS CLI 命令會建立名為 ExportPolicy的 IAM 政策，並包含這些選項。它授予名為 amzn-s3-demo-bucket 的儲存貯體存取權。

   注意

   在您建立政策後，請記下政策的 ARN。在後續步驟中將政策附加至 IAM 角色時，您會需要此 ARN。

   aws iam create-policy  --policy-name ExportPolicy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ExportPolicy",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject*",
                   "s3:ListBucket",
                   "s3:GetObject*",
                   "s3:DeleteObject*",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }'

2. 建立 IAM 角色，讓 Amazon RDS 可以代表您擔任此 IAM 角色，以存取您的 Amazon S3 儲存貯體。如需詳細資訊，請參閱《IAM 使用者指南》中的建立角色以將許可委派給 IAM 使用者。

   下列範例顯示使用 AWS CLI 命令來建立名為 的角色rds-s3-export-role。

   aws iam create-role  --role-name rds-s3-export-role  --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "export.rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole"
          }
        ] 
      }'

3. 將您建立的 IAM 政策附加至您建立的 IAM 角色。

   下列 AWS CLI 命令會將先前建立的政策連接至名為 的角色rds-s3-export-role。將 your-policy-arn 取代成您在稍早步驟中記下的政策 ARN。

   aws iam attach-role-policy  --policy-arn your-policy-arn  --role-name rds-s3-export-role

使用跨帳戶 KMS 金鑰

1. 將金鑰政策新增至本機帳戶。

   下列範例將本機帳戶 123456789012 中的許可給予外部帳戶 444455556666 中的 ExampleRole 和 ExampleUser。

   {
       "Sid": "Allow an external account to use this KMS key",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "arn:aws:iam::444455556666:role/ExampleRole",
               "arn:aws:iam::444455556666:user/ExampleUser"
           ]
       },
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "*"
   }

2. 將 IAM 政策新增至外部帳戶。

   以下 IAM 政策範例允許委託人使用帳戶 123456789012 中的 KMS 金鑰來進行密碼編譯操作。若要提供此許可給帳戶 444455556666 中的 ExampleRole 和 ExampleUser，請在該帳戶中附加政策給他們。

   {
       "Sid": "Allow use of KMS key in account 123456789012",
       "Effect": "Allow",
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
   }