Exportieren von DB-Snapshot-Daten nach Amazon S3 für Amazon RDS

1. Identifizieren Sie den zu exportierenden Snapshot.

   Verwenden Sie einen vorhandenen automatisierten oder manuellen Snapshot oder erstellen Sie einen manuellen Snapshot einer DB-Instance oder eines Multi-AZ-DB-Clusters.

2. Richten Sie den Zugriff auf den Amazon S3-Bucket ein.

   Ein Bucket ist ein Container für Amazon S3-Objekte oder -Dateien. Um die Informationen für den Zugriff auf einen Bucket bereitzustellen, führen Sie die folgenden Schritte aus:

   1. Identifizieren Sie den S3-Bucket, in den der Snapshot exportiert werden soll. Der S3-Bucket muss sich in derselben AWS Region wie der Snapshot befinden. Weitere Informationen finden Sie unter Identifizieren des Amazon S3-Buckets, in den exportiert werden soll.

   2. Erstellen Sie eine AWS Identity and Access Management (IAM-) Rolle, die der Snapshot-Exportaufgabe Zugriff auf den S3-Bucket gewährt. Weitere Informationen finden Sie unter Bereitstellen des Zugriffs auf einen Amazon S3-Bucket mit einer IAM-Rolle.

3. Erstellen Sie eine symmetrische Verschlüsselung AWS KMS key für die serverseitige Verschlüsselung. Der KMS-Schlüssel wird von der Snapshot-Exportaufgabe verwendet, um die AWS KMS serverseitige Verschlüsselung beim Schreiben der Exportdaten nach S3 einzurichten.

   Die KMS-Schlüsselrichtlinie muss die beiden Berechtigungen kms:CreateGrant und kms:DescribeKey enthalten. Weitere Informationen zur Verwendung von KMS-Schlüsseln in Amazon RDS finden Sie unter AWS KMS key Verwaltung.

   Wenn Ihre KMS-Schlüsselrichtlinie eine Deny-Anweisung enthält, stellen Sie sicher, dass Sie den AWS Dienstprinzipal export.rds.amazonaws.com explizit ausschließen.

   Sie können einen KMS-Schlüssel in Ihrem AWS Konto oder einen kontoübergreifenden KMS-Schlüssel verwenden. Weitere Informationen finden Sie unter Verwendung eines Cross-Kontos AWS KMS key für die Verschlüsselung von Amazon S3 S3-Exporten.

4. Exportieren Sie den Snapshot mit der Konsole oder dem CLI-Befehl start-export-task nach Amazon S3. Weitere Informationen finden Sie unter Exportieren eines Snapshots in einen Amazon-S3-Bucket.

5. Um auf Ihre exportierten Daten im Amazon S3-Bucket zuzugreifen, siehe Hochladen, Herunterladen und Verwalten von Objekten im Amazon Simple Storage Service User Guide.

So geben Sie DB-Snapshot-Aufgaben Zugriff auf Amazon S3

1. Erstellen Sie eine IAM-Richtlinie. Diese Richtlinie bietet die Berechtigungen für den Bucket und die Objekte, die den Zugriff auf Ihre Snapshot-Exportaufgabe ermöglichen Amazon S3.

   Nehmen Sie die folgenden erforderlichen Aktionen in die Richtlinie auf, um die Übertragung von Dateien aus Amazon RDS in einen S3-Bucket zu ermöglichen:

   • s3:PutObject*

   • s3:GetObject*

   • s3:ListBucket

   • s3:DeleteObject*

   • s3:GetBucketLocation

   Fügen Sie in die Richtlinie die folgenden Ressourcen zur Identifizierung des S3-Buckets und der Objekte im Bucket ein. Die folgende Liste von Ressourcen zeigt das ARN-Format (Amazon-Ressourcenname) für den Amazon S3-Zugriff.

   • arn:aws:s3:::amzn-s3-demo-bucket

   • arn:aws:s3:::amzn-s3-demo-bucket/*

   Weitere Informationen zur Erstellung einer IAM-Richtlinie für Amazon RDS finden Sie unter Erstellen und Verwenden einer IAM-Richtlinie für den IAM-Datenbankzugriff. Siehe auch Tutorial: Erstellen und Anfügen Ihrer ersten vom Kunden verwalteten Richtlinie im IAM-Benutzerhandbuch.

   Mit dem folgenden AWS CLI Befehl wird eine IAM-Richtlinie ExportPolicy mit diesen Optionen erstellt. Sie gewährt Zugriff auf einen Bucket namens amzn-s3-demo-bucket.

   Anmerkung

   Nachdem Sie die Richtlinie erstellt haben, notieren Sie den ARN der Richtlinie. Sie benötigen den ARN für einen nachfolgenden Schritt, in dem Sie die Richtlinie an eine IAM-Rolle anhängen.

   aws iam create-policy  --policy-name ExportPolicy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ExportPolicy",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject*",
                   "s3:ListBucket",
                   "s3:GetObject*",
                   "s3:DeleteObject*",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }'

2. Erstellen Sie eine IAM-Rolle, damit Amazon RDS diese IAM-Rolle in Ihrem Namen übernehmen kann, um auf Ihre Amazon-S3-Buckets zuzugreifen. Weitere Informationen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen IAM-Benutzer im IAM-Benutzerhandbuch.

   Das folgende Beispiel zeigt, wie der AWS CLI Befehl verwendet wird, um eine Rolle mit dem Namen rds-s3-export-role zu erstellen.

   aws iam create-role  --role-name rds-s3-export-role  --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "export.rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole"
          }
        ] 
      }'

3. Fügen Sie die erstellte IAM-Richtlinie der IAM-Rolle an, die Sie erstellt haben.

   Mit dem folgenden AWS CLI Befehl wird die zuvor erstellte Richtlinie an die angegebene rds-s3-export-role Rolle angehängt. Ersetzen Sie your-policy-arn durch den Richtlinien-ARN, den Sie in einem früheren Schritt notiert haben.

   aws iam attach-role-policy  --policy-arn your-policy-arn  --role-name rds-s3-export-role

So verwenden Sie einen kontoübergreifenden KMS-Schlüssel

1. Fügen Sie dem lokalen Konto eine Schlüsselrichtlinie hinzu.

   Das folgende Beispiel gibt ExampleRole und ExampleUser im externen Konto 444455556666 Berechtigungen im lokalen Konto 123456789012.

   {
       "Sid": "Allow an external account to use this KMS key",
       "Effect": "Allow",
       "Principal": {
           "AWS": [
               "arn:aws:iam::444455556666:role/ExampleRole",
               "arn:aws:iam::444455556666:user/ExampleUser"
           ]
       },
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "*"
   }

2. Fügen Sie IAM-Richtlinien im externen Konto hinzu.

   Die folgende IAM-Richtlinie erlaubt es dem Prinzipal, den KMS-Schlüssel im Konto 123456789012 für kryptografische Operationen zu erlauben. Um diese Berechtigung an ExampleRole und ExampleUser zu erteilen, fügen Sie die Richtlinie zu ihnen im Konto 444455556666 an.

   {
       "Sid": "Allow use of KMS key in account 123456789012",
       "Effect": "Allow",
       "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:CreateGrant",
           "kms:DescribeKey",
           "kms:RetireGrant"
       ],
       "Resource": "arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
   }