Ein SysOps-Administrator muss Amazon RDS-Snapshots zwischen AWS-Konten teilen, die zu verschiedenen Geschäftsbereichen gehören. Die Snapshots müssen im Ruhezustand verschlüsselt bleiben. Welchen Ansatz sollte der Administrator verwenden, um dies zu erreichen?

Um verschlüsselte RDS-Snapshots zwischen AWS-Konten zu teilen, ohne die Verschlüsselung zu verlieren, müssen die Zielkonten Zugriff auf den AWS Key Management Service (KMS)-Schlüssel erhalten, der den Snapshot verschlüsselt hat. Dies geschieht, indem man die KMS-Schlüsselrichtlinie so ändert, dass sie die Zielkonten als Hauptberechtigte (Principals) für die Nutzung des Schlüssels einschließt. Anschließend kann der Snapshot direkt mit diesen Konten geteilt werden. Die anderen Optionen sind ineffizient oder unsicher: Das Herunterladen und lokale Entschlüsseln des Snapshots ist umständlich, zeitaufwändig und birgt Sicherheitsrisiken. Das Starten einer EC2-Instanz und das Erstellen eines EBS-Snapshots ist ein unnötiger Umweg und nicht die direkte Methode zum Teilen von RDS-Snapshots. Das Wiederherstellen in einer unverschlüsselten Instanz und der Export der Datenbank würde die Daten unverschlüsselt übertragen und die Sicherheit beeinträchtigen.