{RDS}のスナップショットのコピー

リージョン間で暗号化されているスナップショットをコピーする場合、ソーススナップショットに使用されているのと同じ AWS KMS CMK をコピーに使用することはできません。
なぜなら、AWS KMS CMK はリージョン固有だからです。代わりに、ターゲット AWS リージョンで有効な AWS KMS CMK を指定する必要があります。

①暗号化されていないスナップショットを同じリージョンにコピー
②暗号化されていないスナップショットを異なるリージョンにコピー
③暗号化されているスナップショットを同じリージョンにコピー
④暗号化されているスナップショットを異なるリージョンにコピー

-- 1. KMSカスタマキーの作成
vim key01.json

{
"Id": "key01",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Enable IAM User Permissions",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::999999999999:root"
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "Allow access for Key Administrators",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::999999999999:user/iamuser"
},
"Action": [
"kms:Create*",
"kms:Describe*",
"kms:Enable*",
"kms:List*",
"kms:Put*",
"kms:Update*",
"kms:Revoke*",
"kms:Disable*",
"kms:Get*",
"kms:Delete*",
"kms:TagResource",
"kms:UntagResource",
"kms:ScheduleKeyDeletion",
"kms:CancelKeyDeletion"
],
"Resource": "*"
},
{
"Sid": "Allow use of the key",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::999999999999:user/iamuser"
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
},
{
"Sid": "Allow attachment of persistent resources",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::999999999999:user/iamuser"
},
"Action": [
"kms:CreateGrant",
"kms:ListGrants",
"kms:RevokeGrant"
],
"Resource": "*",
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": "true"
}
}
}
]
}

aws kms create-key \
--description key01 \
--policy file://key01.json

export AWS_DEFAULT_REGION=ap-northeast-3
aws kms create-key \
--description key01 \
--policy file://key01.json
export AWS_DEFAULT_REGION=ap-northeast-1

-- 2. テスト用インスタンス作成
mysql01 <-- 暗号化なし
mysql02 <-- 暗号化有

aws rds create-db-instance \
--db-instance-identifier mysql01 \
--allocated-storage 20 \
--db-instance-class db.t3.micro \
--engine mysql \
--master-username root \
--master-user-password 'password' \
--no-multi-az \
--engine-version 8.0.25 \
--storage-type gp2 \
--no-publicly-accessible \
--no-enable-performance-insights \
--no-auto-minor-version-upgrade

aws rds create-db-instance \
--db-instance-identifier mysql02 \
--allocated-storage 20 \
--db-instance-class db.t3.micro \
--engine mysql \
--master-username root \
--master-user-password 'password' \
--no-multi-az \
--engine-version 8.0.25 \
--storage-type gp2 \
--no-publicly-accessible \
--no-enable-performance-insights \
--no-auto-minor-version-upgrade \
--storage-encrypted \
--kms-key-id arn:aws:kms:ap-northeast-1:999999999999:key/11111111-2222-3333-4444-555555555555

-- 3. テスト用スナップショット作成

aws rds create-db-snapshot \
--db-snapshot-identifier snap011 \
--db-instance-identifier mysql01

aws rds create-db-snapshot \
--db-snapshot-identifier snap021 \
--db-instance-identifier mysql02

-- 4. スナップショットコピー

①暗号化されていないスナップショットを同じリージョンにコピー

aws rds copy-db-snapshot \
--source-db-snapshot-identifier snap011 \
--target-db-snapshot-identifier snap012

②暗号化されていないスナップショットを異なるリージョンにコピー
export AWS_DEFAULT_REGION=ap-northeast-3

aws rds copy-db-snapshot \
--source-db-snapshot-identifier arn:aws:rds:ap-northeast-1:999999999999:snapshot:snap011 \
--target-db-snapshot-identifier snap013

export AWS_DEFAULT_REGION=ap-northeast-1

③暗号化されているスナップショットを同じリージョンにコピー

aws rds copy-db-snapshot \
--source-db-snapshot-identifier arn:aws:rds:ap-northeast-1:999999999999:snapshot:snap021 \
--target-db-snapshot-identifier snap022 \
--kms-key-id arn:aws:kms:ap-northeast-1:999999999999:key/11111111-2222-3333-4444-555555555555

④暗号化されているスナップショットを異なるリージョンにコピー

export AWS_DEFAULT_REGION=ap-northeast-3

aws rds copy-db-snapshot \
--source-db-snapshot-identifier arn:aws:rds:ap-northeast-1:999999999999:snapshot:snap021 \
--target-db-snapshot-identifier snap023 \
--source-region ap-northeast-1 \
--kms-key-id arn:aws:kms:ap-northeast-3:999999999999:key/66666666-7777-8888-9999-aaaaaaaaaaaa

export AWS_DEFAULT_REGION=ap-northeast-1

-- 5. コピーしたスナップショットからインスタンス起動

aws rds restore-db-instance-from-db-snapshot \
--db-instance-identifier mysql012 \
--db-snapshot-identifier arn:aws:rds:ap-northeast-1:999999999999:snapshot:snap012

export AWS_DEFAULT_REGION=ap-northeast-3
aws rds restore-db-instance-from-db-snapshot \
--db-instance-identifier mysql013 \
--db-snapshot-identifier arn:aws:rds:ap-northeast-3:999999999999:snapshot:snap013
export AWS_DEFAULT_REGION=ap-northeast-1

aws rds restore-db-instance-from-db-snapshot \
--db-instance-identifier mysql022 \
--db-snapshot-identifier arn:aws:rds:ap-northeast-1:999999999999:snapshot:snap022

export AWS_DEFAULT_REGION=ap-northeast-3
aws rds restore-db-instance-from-db-snapshot \
--db-instance-identifier mysql023 \
--db-snapshot-identifier arn:aws:rds:ap-northeast-3:999999999999:snapshot:snap023
export AWS_DEFAULT_REGION=ap-northeast-1

-- 6. クリーンアップ

-- RDSインスタンス削除

aws rds delete-db-instance \
--db-instance-identifier mysql01 \
--skip-final-snapshot

aws rds delete-db-instance \
--db-instance-identifier mysql02 \
--skip-final-snapshot

aws rds delete-db-instance \
--db-instance-identifier mysql012 \
--skip-final-snapshot

aws rds delete-db-instance \
--db-instance-identifier mysql022 \
--skip-final-snapshot

export AWS_DEFAULT_REGION=ap-northeast-3
aws rds delete-db-instance \
--db-instance-identifier mysql013 \
--skip-final-snapshot

aws rds delete-db-instance \
--db-instance-identifier mysql023 \
--skip-final-snapshot
export AWS_DEFAULT_REGION=ap-northeast-1

-- RDSインスタンススナップショットの一覧
aws rds describe-db-snapshots
aws rds describe-db-snapshots | jq -c '.DBSnapshots[] | [ .DBSnapshotIdentifier , .DBInstanceIdentifier ] '

-- RDSインスタンススナップショットの削除
aws rds delete-db-snapshot --db-snapshot-identifier snap011
aws rds delete-db-snapshot --db-snapshot-identifier snap021

aws rds delete-db-snapshot --db-snapshot-identifier snap012
aws rds delete-db-snapshot --db-snapshot-identifier snap022

export AWS_DEFAULT_REGION=ap-northeast-3
aws rds delete-db-snapshot --db-snapshot-identifier snap013
aws rds delete-db-snapshot --db-snapshot-identifier snap023
export AWS_DEFAULT_REGION=ap-northeast-1

-- KMSキーの一覧
aws kms list-keys

-- KMSキーの削除

aws kms schedule-key-deletion \
--key-id arn:aws:kms:ap-northeast-1:999999999999:key/11111111-2222-3333-4444-555555555555 \
--pending-window-in-days 7

export AWS_DEFAULT_REGION=ap-northeast-3
aws kms schedule-key-deletion \
--key-id arn:aws:kms:ap-northeast-3:999999999999:key/66666666-7777-8888-9999-aaaaaaaaaaaa \
--pending-window-in-days 7
export AWS_DEFAULT_REGION=ap-northeast-1