アカウント間で Amazon Redshift クラスターから Amazon S3 にデータをアンロードする

PROD アカウントで にサインインし AWS マネジメントコンソール、https://console.aws.amazon.com/secretsmanager/ で Secrets Manager コンソールを開きます。

[新しいシークレットを保存] を選択します。

[Amazon Redshift データウェアハウスの認証情報] を選択します。

[ユーザー名] と [パスワード] には、インスタンスの値を入力し、[暗号化キー] の値を確認または選択します。

シークレットがアクセスする Amazon Redshift データウェアハウスを選択します。

[シークレット名] に「Redshift-Creds-Secret」と入力します。

残りの作成手順をデフォルトの選択肢で完了し、[保存] を選択します。

シークレットを表示し、シークレットを識別するために生成された [シークレット ARN] の値をメモします。

本番稼働用アカウントで、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

[ポリシー] を選択します。

[ポリシーの作成] を選択します。

[JSON] タブを選択し、以下のような IAM ポリシーを入力します。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetResourcePolicy",
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret",
                "secretsmanager:ListSecretVersionIds"
            ],
            "Resource": [
                "<Redshift-Creds-Secret-ARN>"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "secretsmanager:ListSecrets",
            "Resource": "*"
        }
    ]
}

Redshift-Creds-Secret-ARN を、Amazon Redshift クラスターの情報と認証情報が含まれる Secrets Manager のシークレットの Amazon リソースネーム (ARN) に置き換えます。

開発用アカウントで、IAM コンソールを開きます。

 [ポリシー] を選択します。

[ポリシーの作成] を選択します。

 [JSON] タブを選択し、以下のような IAM ポリシーを入力します。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "kmsstmt",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": [
        "<kms-key-arn>"
      ]
    },
    {
      "Sid": "s3stmt",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:Get*",
        "s3:List*"
      ],
      "Resource": [
        "arn:aws:s3:::mybucket",
        "arn:aws:s3:::mybucket/*"
      ]
    }
  ]
}

mybucket をアクセスする S3 バケットの名前に置き換えます。また、S3 バケットが暗号化されている場合は、 を S3 バケットの暗号化に使用される AWS Key Management Service (AWS KMS) キーの ARN kms-key-arnに置き換えます。それ以外の場合は、ポリシーの AWS KMS セクションは必要ありません。

[ポリシーの確認] を選択し、ポリシーの名前として「S3-Write-Policy」を入力し、[ポリシーの作成] を選択します。

ナビゲーションペインで Roles (ロール) を選択してください。

 [ロールの作成] を選択してください。

信頼されたエンティティのロールには、[カスタム信頼ポリシー] を選択します。

[次へ: アクセス許可]を選択し、作成した S3-Write-Policy ポリシーを選択します。

ロールの名前として「S3-Write-Role」を入力し、[ロールの作成] を選択します。

本番稼働用アカウントで、IAM コンソールを開きます。

[ポリシー] を選択します。

[ポリシーの作成] を選択します。

[JSON] タブを選択し、以下のような IAM ポリシーを入力します。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
            {
            "Sid": "CrossAccountPolicy",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "S3-Write-Role-ARN"
        }
    ]
}

S3-Write-Role-ARN を開発用アカウントの S3-Write-Role の ARN に置き換えます。

[ポリシーの確認] を選択し、ポリシーの名前として「S3-Write-Role-Assume-Policy」を入力し、[ポリシーの作成] を選択します。

ナビゲーションペインで ロール を選択してから、ロールを作成する を選択します。

信頼されたエンティティタイプとして [AWS サービス] を選択し、[Redshift]、[Redshift – カスタマイズ可能] を選択します。

[次へ: アクセス許可] を選択し、作成した S3-Write-Role-Assume-Policy ポリシーを選択します。

ロールの名前として「CrossAccount-S3-Write-Role」を入力し、[ロールの作成] を選択します。

Amazon Redshift クラスターに IAM ロールを関連付けます。

Lambda コンソール (https://console.aws.amazon.com/lambda/) を開きます。

関数を選択します。

[関数の作成] を選択します。

[基本的な情報] の [関数名] に、関数の名前を入力します。

[ランタイム] で [Python 3.8] を選択します。

[デフォルト実行ロールの変更] を開き、次の操作を行います。

[詳細設定]を展開し、以下の操作を行います。

[関数の作成] を選択します。

psycopg2 ライブラリをレイヤーとして Lambda 関数に追加します。

https://console.aws.amazon.com/lambda/ で AWS Lambda コンソールを開きます。

作成した Lambda 関数を見つけて選択します。

[アクション]、[削除] の順に選択します。

削除を確定します。

[IAM コンソール] を開きます。

以下のロールを削除します。

関連するポリシーを削除します。

[IAM コンソール] を開きます。

以下のロールを削除します。

関連するポリシーを削除します。

本番稼働用アカウントで、Secrets Manager コンソールを開きます。

「Redshift-Creds-Secret」という名前のシークレットを見つけて選択します。

[アクション] を選択してから、[シークレットの削除] を選択します。

削除を確定します。

本番稼働用アカウントで、Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

[セキュリティグループ] に移動します。

Amazon Redshift クラスターが使用するセキュリティグループを見つけます。

インバウンドルールを編集し、開発用アカウントの Lambda VPC から接続を許可するルールを削除します。

[VPC ピアリング接続] に移動し、ピアリング接続を削除します。

開発用アカウントで、Amazon S3 コンソール (https://console.aws.amazon.com/s3/) を開きます。

データストレージに使用したバケットを見つけます。

バケット内のオブジェクトを削除するか、不要な場合はバケット全体を削除します。

https://console.aws.amazon.com/kms/ で AWS KMS コンソールを開きます。

このパターン用に作成されたキーを見つけます。

キーを削除するようにスケジュールします。(キーの削除には必須の待機期間があります)。

CloudWatch コンソールの https://console.aws.amazon.com/cloudwatch/ を開いてください。

Lambda 関数または Amazon Redshift クラスターによって作成されたロググループを確認します。

これらのロググループは、不要な場合は削除します。