使用 Data Lifecycle Manager 自動化跨帳戶快照複本

使用 get-key-policy命令來擷取目前連接至金鑰的KMS金鑰政策。

例如，下列命令會擷取 ID 為 之KMS金鑰的金鑰政策，9d5e2b3d-e410-4a27-a958-19e220d83a1e並將其寫入名為 的檔案snapshotKey.json。

$ aws kms get-key-policy \
    --policy-name default \
    --key-id 9d5e2b3d-e410-4a27-a958-19e220d83a1e \
    --query Policy \
    --output text > snapshotKey.json

使用您偏好的文字編輯器開啟金鑰政策。新增您在建立快照政策時指定的IAM角色ARN的 ，以及要與其共用KMS金鑰ARNs的目標帳戶的 。

例如，在下列政策中，我們新增了預設IAM角色ARN的 ，以及目標帳戶的ARN根帳戶的 。 222222222222.

{
    "Sid" : "Allow use of the key",
    "Effect" : "Allow",
    "Principal" : {
        "AWS" : [
            "arn:aws:iam::111111111111:role/service-role/AWSDataLifecycleManagerDefaultRole",
            "arn:aws:iam::222222222222:root"
        ]
    },
    "Action" : [ 
        "kms:Encrypt", 
        "kms:Decrypt", 
        "kms:ReEncrypt*", 
        "kms:GenerateDataKey*", 
        "kms:DescribeKey" 
    ],
    "Resource" : "*"
}, 
{
    "Sid" : "Allow attachment of persistent resources",
    "Effect" : "Allow",
    "Principal" : {
        "AWS" : [
            "arn:aws:iam::111111111111:role/service-role/AWSDataLifecycleManagerDefaultRole",
            "arn:aws:iam::222222222222:root"
        ]
    },
    "Action" : [ 
        "kms:CreateGrant", 
        "kms:ListGrants", 
        "kms:RevokeGrant"
    ],
    "Resource" : "*",
    "Condition" : {
        "Bool" : {
          "kms:GrantIsForAWSResource" : "true"
        }
    }
}

儲存並關閉檔案。然後使用 put-key-policy命令將更新的金鑰政策連接至KMS金鑰。

$ aws kms put-key-policy \
    --policy-name default \
    --key-id 9d5e2b3d-e410-4a27-a958-19e220d83a1e \
    --policy file://snapshotKey.json

使用 create-lifecycle-policy命令來建立政策。若要建立跨帳戶複本事件政策，請在 PolicyType 中指定 EVENT_BASED_POLICY。

例如，下列命令會在目標帳戶 (222222222222) 中建立跨帳戶複本事件政策。此政策會複製來源帳戶 (111111111111) 共用的快照。此政策會將快照複製到 sa-east-1 和 eu-west-2。複製到 sa-east-1 的快照是未加密的，且保留時間為 3 天。複製到 的快照會使用KMS金鑰eu-west-2加密，8af79514-350d-4c52-bac8-8985e84171c7並保留 1 個月。政策使用預設IAM角色。

$ aws dlm create-lifecycle-policy \
    --description "Copy policy" \
    --state ENABLED \
    --execution-role-arn arn:aws:iam::222222222222:role/service-role/AWSDataLifecycleManagerDefaultRole \
    --policy-details file://policyDetails.json

下列顯示 policyDetails.json 檔案的內容。

{
    "PolicyType" : "EVENT_BASED_POLICY",
    "EventSource" : {
        "Type" : "MANAGED_CWE",
        "Parameters": {
            "EventType" : "shareSnapshot",
            "SnapshotOwner": ["111111111111"]
        }
    },
    "Actions" : [{
        "Name" :"Copy Snapshot to Sao Paulo and London",
        "CrossRegionCopy" : [{
            "Target" : "sa-east-1",
             "EncryptionConfiguration" : {
                 "Encrypted" : false
             },
             "RetainRule" : {
             "Interval" : 3,
            "IntervalUnit" : "DAYS"
            }
        },
        {
            "Target" : "eu-west-2",
            "EncryptionConfiguration" : {
                 "Encrypted" : true,
                 "CmkArn" : "arn:aws:kms:eu-west-2:222222222222:key/8af79514-350d-4c52-bac8-8985e84171c7"
            },
            "RetainRule" : {
                "Interval" : 1,
                "IntervalUnit" : "MONTHS"
            }
        }]
    }]
}

如果請求成功，命令會回傳新建立之政策的 ID。下列為範例輸出。

{
    "PolicyId": "policy-9876543210abcdef0"
}

使用您偏好的文字編輯器，建立新的名為 JSON的檔案policyDetails.json。新增下列政策，並指定在步驟 2 中用來加密來源磁碟區，以及來源帳戶與您共用ARN的KMS金鑰的 。

在下列範例中， 政策會授予IAM角色許可，以使用 KMS金鑰1234abcd-12ab-34cd-56ef-1234567890ab，該金鑰由來源帳戶 111111111111和金鑰 共用4567dcba-23ab-34cd-56ef-0987654321yz，該KMS金鑰存在於目標帳戶 中222222222222。

 {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:RevokeGrant",
                "kms:CreateGrant",
                "kms:ListGrants"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111111111111:key/1234abcd-12ab-34cd-56ef-1234567890ab",
                "arn:aws:kms:us-east-1:222222222222:key/4567dcba-23ab-34cd-56ef-0987654321yz"		
            ],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111111111111:key/1234abcd-12ab-34cd-56ef-1234567890ab",
                "arn:aws:kms:us-east-1:222222222222:key/4567dcba-23ab-34cd-56ef-0987654321yz"
            ]
        }
    ]
}

儲存並關閉檔案。然後使用 put-role-policy命令將政策新增至IAM角色。

例如

$ aws iam put-role-policy \
    --role-name AWSDataLifecycleManagerDefaultRole \
    --policy-name CopyPolicy \
    --policy-document file://AdminPolicy.json