自動化跨AWS帳戶複寫 Amazon RDS 執行個體

創建者帕拉格納格韋卡 (AWS) 和阿倫·錢達皮萊 () AWS

Summary

此模式說明如何使用 AWS Step Functions 數和 AWS Lambda，將 Amazon 關聯式資料庫服務 (AmazonRDS) 資料庫執行個體跨不同AWS帳戶複寫、追蹤和復原的程序自動化。您可以使用此自動化功能來執行RDS資料庫執行個體的大規模複寫，而不會對效能造成任何影響或營運超額，無論您的組織規模如何。您也可以使用此模式來協助組織遵守強制性資料控管策略或合規性要求，這些策略要求您的資料在不同AWS帳戶和AWS區域之間進行複寫和備援。大規模跨帳戶複寫 Amazon RDS 資料是效率低下且容易出錯的手動程序，成本高昂且耗時，但此模式的自動化可協助您安全、有效且有效率地實現跨帳戶複寫。

先決條件和限制

先決條件

產品版本

架構

技術, 堆

目標架構

下圖顯示使用 Step Functions 協調RDS資料庫執行個體從來源帳戶 (帳戶 A) 到目標帳戶 (帳戶 B) 的排程隨選複寫的架構。

在來源帳戶 (圖表中的帳戶 A) 中，「Step Functions」狀態機器會執行下列動作：

在目標帳戶 (圖表中的帳戶 B) 中，Lambda 函數會執行 Step Functions 數狀態機器來協調下列項目：

工具

AWS工具

Code

此模式的代碼可在 GitHub 跨帳戶RDS複寫存儲庫中找到。

史诗

aws sns add-permission \
--label lambda-access --aws-account-id <DestinationAccount> \
--topic-arn <Arn of SNSTopic > \
--action-name Subscribe ListSubscriptionsByTopic 

aws lambda add-permission \
--function-name <Name of InvokeStepFunction> \
--source-arn <Arn of SNSTopic > \
--statement-id function-with-sns \
--action lambda:InvokeFunction \
--principal sns.amazonaws.com

aws sns subscribe \
--protocol "lambda" \
--topic-arn <Arn of SNSTopic> \
--notification-endpoint <Arn of InvokeStepFunction>

相關資源

其他資訊

您可以使用下列範例政策跨AWS帳戶共用AWSKMS金鑰。

{
    "Version": "2012-10-17",
    "Id": "cross-account-rds-kms-key",
    "Statement": [
        {
            "Sid": "Enable user permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<SourceAccount>:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow administration of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<DestinationAccount>:root"
            },
            "Action": [
                "kms:Create*",
                "kms:Describe*",
                "kms:Enable*",
                "kms:List*",
                "kms:Put*",
                "kms:Update*",
                "kms:Revoke*",
                "kms:Disable*",
                "kms:Get*",
                "kms:Delete*",
                "kms:ScheduleKeyDeletion",
                "kms:CancelKeyDeletion"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::<DestinationAccount>:root",
                    "arn:aws:iam::<SourceAccount>:root"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*"
        }
    ]
}