{RDS}DB のスナップショットの共有

-- 1. KMSカスタマキーの作成
vim key01.json

{
"Id": "key01",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Enable IAM User Permissions",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::999999999999:root"
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "Allow access for Key Administrators",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::999999999999:user/iamuser"
},
"Action": [
"kms:Create*",
"kms:Describe*",
"kms:Enable*",
"kms:List*",
"kms:Put*",
"kms:Update*",
"kms:Revoke*",
"kms:Disable*",
"kms:Get*",
"kms:Delete*",
"kms:TagResource",
"kms:UntagResource",
"kms:ScheduleKeyDeletion",
"kms:CancelKeyDeletion"
],
"Resource": "*"
},
{
"Sid": "Allow use of the key",
"Effect": "Allow",
"Principal": {"AWS": [
"arn:aws:iam::999999999999:user/iamuser",
"arn:aws:iam::888888888888:root"
]},
"Action": [
"kms:CreateGrant",
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
},
{
"Sid": "Allow attachment of persistent resources",
"Effect": "Allow",
"Principal": {"AWS": [
"arn:aws:iam::999999999999:user/iamuser",
"arn:aws:iam::888888888888:root"
]}, "Action": [
"kms:CreateGrant",
"kms:ListGrants",
"kms:RevokeGrant"
],
"Resource": "*",
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": "true"
}
}
}
]
}

aws kms create-key \
--description key01 \
--policy file://key01.json

-- 2. テスト用インスタンス作成
postgres01 <-- 暗号化なし
postgres02 <-- 暗号化有

aws rds create-db-instance \
--db-instance-identifier postgres01 \
--allocated-storage 20 \
--db-instance-class db.t3.micro \
--engine postgres \
--master-username postgres \
--master-user-password 'password' \
--no-multi-az \
--engine-version 13.3 \
--storage-type gp2 \
--no-publicly-accessible \
--no-enable-performance-insights \
--no-auto-minor-version-upgrade

aws rds create-db-instance \
--db-instance-identifier postgres02 \
--allocated-storage 20 \
--db-instance-class db.t3.micro \
--engine postgres \
--master-username postgres \
--master-user-password 'password' \
--no-multi-az \
--engine-version 13.3 \
--storage-type gp2 \
--no-publicly-accessible \
--no-enable-performance-insights \
--no-auto-minor-version-upgrade \
--storage-encrypted \
--kms-key-id arn:aws:kms:ap-northeast-1:999999999999:key/11111111-2222-3333-4444-555555555555

-- 3. テスト用スナップショット作成

aws rds create-db-snapshot \
--db-snapshot-identifier snap011 \
--db-instance-identifier postgres01

aws rds create-db-snapshot \
--db-snapshot-identifier snap021 \
--db-instance-identifier postgres02

※スナップショット作成が完了する前にDB削除するとスナップショットも消える

-- 4. スナップショットの共有

①暗号化されていないスナップショットの共有

スナップショットを 1 つのアカウントで共有する
aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier snap011 \
--attribute-name restore \
--values-to-add 888888888888

スナップショット共有を停止する
aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier snap011 \
--attribute-name restore \
--values-to-remove 888888888888

②暗号化されたスナップショットの共有

=====================================================
-- 共有先アカウントでの作業
下記、IAM ポリシーを作成し、このポリシーを共有先ユーザにアタッチ

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowUseOfTheKey",
"Effect": "Allow",
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey",
"kms:CreateGrant",
"kms:RetireGrant"
],
"Resource": ["arn:aws:kms:ap-northeast-1:999999999999:key/11111111-2222-3333-4444-555555555555"]
},
{
"Sid": "AllowAttachmentOfPersistentResources",
"Effect": "Allow",
"Action": [
"kms:CreateGrant",
"kms:ListGrants",
"kms:RevokeGrant"
],
"Resource": ["arn:aws:kms:ap-northeast-1:999999999999:key/11111111-2222-3333-4444-555555555555"],
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": true
}
}
}
]
}

=====================================================

スナップショットを 1 つのアカウントで共有する
aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier snap021 \
--attribute-name restore \
--values-to-add 888888888888

スナップショット共有を停止する
aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier snap021 \
--attribute-name restore \
--values-to-remove 888888888888

※共有先で共有された暗号化スナップショットを使用するためには、まず共有先のアカウントにスナップショットをコピーする必要がある

-- 5. クリーンアップ

-- RDSインスタンス削除

aws rds delete-db-instance \
--db-instance-identifier postgres01 \
--skip-final-snapshot

aws rds delete-db-instance \
--db-instance-identifier postgres02 \
--skip-final-snapshot

-- RDSインスタンススナップショットの一覧
aws rds describe-db-snapshots
aws rds describe-db-snapshots | jq -c '.DBSnapshots[] | [ .DBSnapshotIdentifier , .DBInstanceIdentifier ] '

-- RDSインスタンススナップショットの削除
aws rds delete-db-snapshot --db-snapshot-identifier snap011
aws rds delete-db-snapshot --db-snapshot-identifier snap021

-- KMSキーの一覧
aws kms list-keys

-- KMSキーの削除

aws kms schedule-key-deletion \
--key-id arn:aws:kms:ap-northeast-1:999999999999:key/11111111-2222-3333-4444-555555555555 \
--pending-window-in-days 7

-- 共有先アカウントで作成したIAMポリシーのデタッチ、削除