(1)暗号化なしの場合
-- 1. DBクラスター作成
aws rds create-db-cluster \
--db-cluster-identifier cluster01 \
--engine aurora-mysql \
--engine-version 5.7.mysql_aurora.2.10.0 \
--master-username root \
--master-user-password 'password'
aws rds create-db-instance \
--db-instance-identifier cluster01-instance01 \
--db-cluster-identifier cluster01 \
--db-instance-class db.t3.small \
--engine aurora-mysql \
--no-auto-minor-version-upgrade
aws rds describe-db-clusters
aws rds describe-db-instances
-- 2. クラスターのクローンを作成するためのアクセス許可を付与する
aws ram create-resource-share \
--name rs01 \
--resource-arns arn:aws:rds:ap-northeast-1:999999999999:cluster:cluster01 \
--principals 888888888888
-- 3. 自分が共有しているプリンシパル一覧
aws ram list-principals \
--resource-owner SELF
-- 4. 自分が共有されているプリンシパル一覧
aws ram list-principals \
--resource-owner OTHER-ACCOUNTS
-- 5. 自分が共有しているリソース一覧
aws ram list-resources \
--resource-owner SELF
-- 6. 自分が共有されているリソース一覧
aws ram list-resources \
--resource-owner OTHER-ACCOUNTS
-----------------------------------
-- 共有先アカウントでの作業 ここから
※組織内でリソースを共有する場合、AWS RAMプリンシパルに招待を送信しません。
組織内のプリンシパルは、招待を交換せずに共有リソースにアクセスできます。
---- 7. 他の AWS アカウントが所有するクラスターのクローン作成の招待を表示する
--aws ram get-resource-share-invitations
---- 8. 他の AWS アカウントが所有するクラスターを共有する招待を承諾する
--aws ram accept-resource-share-invitation \
----resource-share-invitation-arn <invitation_arn>
-- 9. 別の AWS アカウントが所有する Aurora クラスターのクローンを作成する
aws rds restore-db-cluster-to-point-in-time \
--source-db-cluster-identifier arn:aws:rds:ap-northeast-1:999999999999:cluster:cluster01 \
--db-cluster-identifier cluster01 \
--restore-type copy-on-write \
--use-latest-restorable-time
aws rds create-db-instance \
--db-instance-identifier cluster01-instance01 \
--db-cluster-identifier cluster01 \
--db-instance-class db.t3.small \
--engine aurora-mysql \
--no-auto-minor-version-upgrade
aws rds describe-db-clusters
aws rds describe-db-instances
-- 10. DB クラスターがクロスアカウントのクローンであるかどうかを確認する
aws rds describe-db-clusters --include-shared
aws rds describe-db-clusters --include-shared --query "DBClusters[*].[DBClusterIdentifier,CrossAccountClone]"
-- 11. クリーンアップ
-- インスタンス削除
aws rds delete-db-instance --db-instance-identifier cluster01-instance01 --skip-final-snapshot
-- クラスター削除
aws rds delete-db-cluster --db-cluster-identifier cluster01 --skip-final-snapshot
-- 共有先アカウントでの作業 ここまで
-----------------------------------
-- 12. クリーンアップ
-- インスタンス削除
aws rds delete-db-instance --db-instance-identifier cluster01-instance01 --skip-final-snapshot
-- クラスター削除
aws rds delete-db-cluster --db-cluster-identifier cluster01 --skip-final-snapshot
-- リソース共有の解除
aws ram list-resources --resource-owner SELF
aws ram delete-resource-share --resource-share-arn arn:aws:ram:ap-northeast-1:999999999999:resource-share/11111111-2222-3333-4444-555555555555
(2)暗号化有の場合
-- 1. KMSカスタマキーの作成
vim key01.json
{
"Id": "key01",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Enable IAM User Permissions",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::999999999999:root"
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "Allow access for Key Administrators",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::999999999999:user/iamuser"
},
"Action": [
"kms:Create*",
"kms:Describe*",
"kms:Enable*",
"kms:List*",
"kms:Put*",
"kms:Update*",
"kms:Revoke*",
"kms:Disable*",
"kms:Get*",
"kms:Delete*",
"kms:TagResource",
"kms:UntagResource",
"kms:ScheduleKeyDeletion",
"kms:CancelKeyDeletion"
],
"Resource": "*"
},
{
"Sid": "Allow use of the key",
"Effect": "Allow",
"Principal": {"AWS": [
"arn:aws:iam::999999999999:user/iamuser",
"arn:aws:iam::888888888888:root"
]},
"Action": [
"kms:CreateGrant",
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
},
{
"Sid": "Allow attachment of persistent resources",
"Effect": "Allow",
"Principal": {"AWS": [
"arn:aws:iam::999999999999:user/iamuser",
"arn:aws:iam::888888888888:root"
]}, "Action": [
"kms:CreateGrant",
"kms:ListGrants",
"kms:RevokeGrant"
],
"Resource": "*",
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": "true"
}
}
}
]
}
aws kms create-key \
--description key01 \
--policy file://key01.json
-- 2. DBクラスター作成
aws rds create-db-cluster \
--db-cluster-identifier cluster02 \
--engine aurora-mysql \
--engine-version 5.7.mysql_aurora.2.10.0 \
--master-username root \
--master-user-password 'password' \
--storage-encrypted \
--kms-key-id arn:aws:kms:ap-northeast-1:999999999999:key/11111111-2222-3333-4444-555555555555
aws rds create-db-instance \
--db-instance-identifier cluster02-instance01 \
--db-cluster-identifier cluster02 \
--db-instance-class db.t3.small \
--engine aurora-mysql \
--no-auto-minor-version-upgrade
aws rds describe-db-clusters
aws rds describe-db-instances
-- 3. クラスターのクローンを作成するためのアクセス許可を付与する
aws ram create-resource-share \
--name rs02 \
--resource-arns arn:aws:rds:ap-northeast-1:999999999999:cluster:cluster02 \
--principals 888888888888
-- 4. 自分が共有しているプリンシパル一覧
aws ram list-principals \
--resource-owner SELF
-- 5. 自分が共有されているプリンシパル一覧
aws ram list-principals \
--resource-owner OTHER-ACCOUNTS
-- 6. 自分が共有しているリソース一覧
aws ram list-resources \
--resource-owner SELF
-- 7. 自分が共有されているリソース一覧
aws ram list-resources \
--resource-owner OTHER-ACCOUNTS
-----------------------------------
-- 共有先アカウントでの作業 ここから
※組織内でリソースを共有する場合、AWS RAMプリンシパルに招待を送信しません。
組織内のプリンシパルは、招待を交換せずに共有リソースにアクセスできます。
---- 8. 他の AWS アカウントが所有するクラスターのクローン作成の招待を表示する
--aws ram get-resource-share-invitations
---- 9. 他の AWS アカウントが所有するクラスターを共有する招待を承諾する
--aws ram accept-resource-share-invitation \
----resource-share-invitation-arn <invitation_arn>
-- 10. 別の AWS アカウントが所有する Aurora クラスターのクローンを作成する
aws rds restore-db-cluster-to-point-in-time \
--source-db-cluster-identifier arn:aws:rds:ap-northeast-1:999999999999:cluster:cluster02 \
--db-cluster-identifier cluster02 \
--restore-type copy-on-write \
--use-latest-restorable-time \
--kms-key-id arn:aws:kms:ap-northeast-1:888888888888:key/11111111-2222-3333-4444-555555555555
aws rds create-db-instance \
--db-instance-identifier cluster02-instance01 \
--db-cluster-identifier cluster02 \
--db-instance-class db.t3.small \
--engine aurora-mysql \
--no-auto-minor-version-upgrade
aws rds describe-db-clusters
aws rds describe-db-instances
-- 11. DB クラスターがクロスアカウントのクローンであるかどうかを確認する
aws rds describe-db-clusters --include-shared
aws rds describe-db-clusters --include-shared --query "DBClusters[*].[DBClusterIdentifier,CrossAccountClone]"
-- 12. クリーンアップ
-- インスタンス削除
aws rds delete-db-instance --db-instance-identifier cluster02-instance01 --skip-final-snapshot
-- クラスター削除
aws rds delete-db-cluster --db-cluster-identifier cluster02 --skip-final-snapshot
-- 共有先アカウントでの作業 ここまで
-----------------------------------
-- 13. クリーンアップ
-- インスタンス削除
aws rds delete-db-instance --db-instance-identifier cluster02-instance01 --skip-final-snapshot
-- クラスター削除
aws rds delete-db-cluster --db-cluster-identifier cluster02 --skip-final-snapshot
-- リソース共有の解除
aws ram list-resources --resource-owner SELF
aws ram delete-resource-share --resource-share-arn arn:aws:ram:ap-northeast-1:999999999999:resource-share/11111111-2222-3333-4444-555555555555
-- KMSキーの一覧
aws kms list-keys
-- KMSキーの削除
aws kms schedule-key-deletion \
--key-id arn:aws:kms:ap-northeast-1:999999999999:key/11111111-2222-3333-4444-555555555555 \
--pending-window-in-days 7
