Clonazione tra account con AWS RAM e Amazon Aurora

Come concedere l'autorizzazione per clonare il tuo cluster

1. Accedi a AWS Management Console e apri la console Amazon RDS all'indirizzo https://console.aws.amazon.com/rds/.

2. Nel riquadro di navigazione, scegli Databases (Database).

3. Scegli il cluster database che desideri condividere per visualizzare la pagina Dettagli e scegli la scheda Connectivity & security (Connessione e sicurezza).

4. Nella sezione Condividi il cluster DB con altri AWS account, inserisci l'ID numerico dell'account a cui desideri consentire la AWS clonazione di questo cluster. Per un account IDs appartenente alla stessa organizzazione, puoi iniziare a digitare nella casella e quindi scegliere dal menu.

   Importante

   In alcuni casi, potresti volere la clonazione di un cluster da parte di un account che non appartiene alla stessa organizzazione AWS del tuo account. In questi casi, per ragioni di sicurezza la console non segnala chi sia il proprietario dell'ID account o se l'account esiste.

   Fai attenzione a inserire numeri di conto che non appartengono alla stessa AWS organizzazione del tuo AWS account. Verifica immediatamente che la condivisione sia avvenuta con l'account desiderato.

5. Nella pagina di conferma, verifica che l'ID dell'account specificato sia corretto. Inserisci share nel riquadro di conferma per confermare.

   Nella pagina Dettagli, viene visualizzata una voce che mostra l'ID dell' AWS account specificato in Account con cui è condiviso questo cluster DB. La colonna Stato mostra inizialmente lo stato Pending (In attesa).

6. Contatta il proprietario dell'altro AWS account o accedi a quell'account se possiedi entrambi. Fornisci istruzioni al proprietario dell'altro account per accettare l'invito di condivisione e clonare il cluster database, nel modo descritto di seguito.

Come concedere l'autorizzazione per clonare il tuo cluster

1. Raccogli le informazioni per i parametri richiesti. È necessario l'ARN per il cluster e l'ID numerico per l'altro account. AWS

2. Esegui il comando AWS RAM CLI. create-resource-share

   In Linux, macOS, oppure Unix:

   aws ram create-resource-share --name descriptive_name \
     --region region \
     --resource-arns cluster_arn \
     --principals other_account_ids
   

   In Windows:

   aws ram create-resource-share --name descriptive_name ^
     --region region ^
     --resource-arns cluster_arn ^
     --principals other_account_ids
   

   Per includere più account IDs per il --principals parametro, separateli l'uno IDs dall'altro con spazi. Per specificare se l'account consentito IDs può trovarsi all'esterno AWS dell'organizzazione, includi il --no-allow-external-principals parametro --allow-external-principals o percreate-resource-share.

Come concedere l'autorizzazione per clonare il tuo cluster

1. Raccogli le informazioni per i parametri richiesti. È necessario l'ARN per il cluster e l'ID numerico per l'altro account. AWS

2. Chiama l'operazione AWS RAM API CreateResourceSharee specifica i seguenti valori:

   • Specificate l'ID dell'account per uno o più AWS account come principals parametro.

   • Specifica l’ARN di uno o più cluster database Aurora come parametro resourceArns.

   • Specificate se l'account consentito IDs può essere esterno all' AWS organizzazione includendo un valore booleano per il allowExternalPrincipals parametro.

Per scoprire se un cluster di tua proprietà è condiviso con altri AWS account

• Chiama il comando AWS RAM CLI list-principals, utilizzando l'ID dell'account come proprietario della risorsa e l'ARN del cluster come ARN della risorsa. Puoi visualizzare tutte le condivisioni con il comando seguente. I risultati indicano a quali AWS account è consentito clonare il cluster.

  aws ram list-principals \
      --resource-arns your_cluster_arn \
      --principals your_aws_id
  

Per scoprire se un cluster di tua proprietà è condiviso con altri AWS account

• Chiama l'operazione AWS RAM API ListPrincipals. Usa il tuo ID dell'account come proprietario di risorse e l'ARN del tuo cluster come l'ARN di risorse.

Per visualizzare gli inviti a clonare i cluster di proprietà di altri account AWS

1. Esegui il comando AWS RAM CLI. get-resource-share-invitations

   aws ram get-resource-share-invitations --region region_name
   

   I risultati del comando precedente mostrano tutti gli inviti per clonare cluster, inclusi gli inviti già accettati o rifiutati.

2. (Opzionale) Filtra l'elenco per vedere solamente gli inviti che necessitano una tua azione. A tale scopo, aggiungi il parametro --query 'resourceShareInvitations[?status==`PENDING`]'.

Per visualizzare gli inviti a clonare i cluster di proprietà di altri account AWS

1. Chiama l'operazione API AWS RAM . GetResourceShareInvitations Questa operazione restituisce tutti questi inviti, inclusi gli inviti già accettati o rifiutati.

2. (Opzionale) Trova solamente gli inviti che necessitano una tua azione verificando il campo di restituzione resourceShareAssociations per un valore status di PENDING.

Per accettare un invito a condividere un cluster da un altro account AWS

1. Trova l'ARN dell'invito eseguendo il comando AWS RAM CLI get-resource-share-invitations, come mostrato in precedenza.

2. Accettate l'invito chiamando il comando AWS RAM CLI accept-resource-share-invitation, come illustrato di seguito.

   In Linux, macOS, oppure Unix:

   aws ram accept-resource-share-invitation \
     --resource-share-invitation-arn invitation_arn \
     --region region
   

   In Windows:

   aws ram accept-resource-share-invitation ^
     --resource-share-invitation-arn invitation_arn ^
     --region region
   

Come accettare inviti per condividere il cluster di qualcuno

1. Trova l'ARN dell'invito chiamando l'operazione AWS RAM API GetResourceShareInvitations, come mostrato in precedenza.

2. Passa quell'ARN come resourceShareInvitationArn parametro all'operazione API RDS. AcceptResourceShareInvitation

Per clonare un cluster Aurora di proprietà di un altro account AWS

1. Accedi a AWS Management Console e apri la console Amazon RDS all'indirizzo https://console.aws.amazon.com/rds/.

2. Nel riquadro di navigazione, scegli Databases (Database).

   In cima all'elenco database, dovresti visualizzare uno o più elementi con un valore Ruolo di Shared from account #account_id. Per ragioni di sicurezza, puoi visualizzare solamente informazioni limitate riguardo i cluster originali. Puoi visualizzare le proprietà, come motore di database e versione, che devono essere uguali nel tuo cluster clonato.

3. Scegli il cluster che desideri clonare.

4. In Actions (Operazioni), selezionare Create clone (Crea clone).

5. Segui la procedura in Console per completare la configurazione del cluster clonato.

6. Abilita la crittografia per il cluster clonato come necessario. Se il cluster che stai clonando è crittografato, devi abilitare la crittografia per il cluster clonato. L'account AWS che ha condiviso con te il cluster deve condividere anche la chiave KMS utilizzata per crittografare il cluster. È possibile utilizzare la stessa chiave KMS per crittografare il clone o la propria chiave KMS. Non puoi creare un clone tra più account per un cluster crittografato con una chiave KMS di default.

   L'account che possiede la chiave di crittografia deve concedere l'autorizzazione per utilizzare la chiave all'account di destinazione utilizzando la policy delle chiavi. Questo processo è simile a quello per condividere gli snapshot crittografati, utilizzando una policy delle chiavi per concedere l'autorizzazione all'account di destinazione per utilizzare la chiave.

Per clonare un cluster Aurora di proprietà di un altro account AWS

1. Accetta l'invito dell' AWS account proprietario del cluster DB, come mostrato in precedenza.

2. Clona il cluster specificando l'ARN completo del cluster di origine nel parametro source-db-cluster-identifier del comando RDS CLI restore-db-cluster-to-point-in-time, come mostrato di seguito.

   Se l'ARN passato come source-db-cluster-identifier non è stato condiviso, si presenterà lo stesso errore del caso in cui il cluster indicato non esista.

   In Linux, macOS, oppure Unix:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time
   

   In Windows:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time
   

3. Se il cluster da clonare è crittografato, devi crittografare il tuo cluster clonato includendo un parametro kms-key-id. Questo valore kms-key-id può essere lo stesso di quello utilizzato per crittografare il cluster database originale o in alternativa la tua chiave KMS. Il tuo account deve avere l'autorizzazione a utilizzare la chiave di crittografia.

   In Linux, macOS, oppure Unix:

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time \
     --kms-key-id=arn:aws:kms:arn_details
   

   In Windows:

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time ^
     --kms-key-id=arn:aws:kms:arn_details
   

   L'account che possiede la chiave di crittografia deve concedere l'autorizzazione per utilizzare la chiave all'account di destinazione utilizzando la policy delle chiavi. Questo processo è simile a quello per condividere gli snapshot crittografati, utilizzando una policy delle chiavi per concedere l'autorizzazione all'account di destinazione per utilizzare la chiave. Di seguito, un esempio di una policy delle chiavi.

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

Per clonare un cluster Aurora di proprietà di un altro account AWS

1. Accetta l'invito dell' AWS account proprietario del cluster DB, come mostrato in precedenza.

2. Clona il cluster specificando l'ARN completo del cluster di origine nel parametro SourceDBClusterIdentifier dell'operazione API RDS RestoreDBClusterToPointInTime.

   Se l'ARN passato come SourceDBClusterIdentifier non è stato condiviso, allora si presenterà lo stesso errore del caso in cui il cluster indicato non esista.

3. Se il cluster da clonare è crittografato, includi un parametro KmsKeyId per crittografare il tuo cluster clonato. Questo valore kms-key-id può essere lo stesso di quello utilizzato per crittografare il cluster database originale o in alternativa la tua chiave KMS. Il tuo account deve avere l'autorizzazione a utilizzare la chiave di crittografia.

   Durante la clonazione di un volume, l'account di destinazione deve essere autorizzato all'utilizzo della chiave di crittografia usata per crittografare il cluster di origine. Aurora crittografa il nuovo cluster clonato con la chiave di crittografia specificata in KmsKeyId.

   L'account che possiede la chiave di crittografia deve concedere l'autorizzazione per utilizzare la chiave all'account di destinazione utilizzando la policy delle chiavi. Questo processo è simile a quello per condividere gli snapshot crittografati, utilizzando una policy delle chiavi per concedere l'autorizzazione all'account di destinazione per utilizzare la chiave. Di seguito, un esempio di una policy delle chiavi.

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

Come verificare se un cluster database è un clone tra più account

• Denomina il comando RDS CLI describe-db-clusters.

  I seguenti esempi mostrano come sono visualizzati i cluster database effettivi o potenziali di cloni tra più account nell'output describe-db-clusters. Per i cluster esistenti di proprietà del tuo AWS account, il CrossAccountClone campo indica se il cluster è un clone di un cluster DB di proprietà di un altro account. AWS

  In alcuni casi, una voce potrebbe avere un numero di AWS account diverso dal tuo nel DBClusterArn campo. In questo caso, quella voce rappresenta un cluster di proprietà di un AWS account diverso e che puoi clonare. Tali voci presentano pochi campi oltre DBClusterArn. Quando crei un cluster clonato, specifica che i valori per StorageEncrypted, Engine e EngineVersion siano gli stessi del cluster originale.

  $aws rds describe-db-clusters --include-shared --region us-east-1
  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0
    ]
  }
  

Come verificare se un cluster database è un clone tra più account

• Richiama l'operazione Descrivi dell'API RDS. DBClusters

  Per i cluster esistenti di proprietà del tuo AWS account, il CrossAccountClone campo indica se il cluster è un clone di un cluster DB di proprietà di un altro account. AWS Le voci con un numero di AWS account diverso nel DBClusterArn campo rappresentano cluster che è possibile clonare e che sono di proprietà di altri account. AWS Tali voci presentano pochi campi oltre DBClusterArn. Quando crei un cluster clonato, specifica che i valori per StorageEncrypted, Engine e EngineVersion siano gli stessi del cluster originale.

  Il seguente esempio mostra un valore di ritorno che dimostra sia i cluster clonati effettivi che potenziali.

  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0"
        }
    ]
  }