Ein Unternehmen betreibt eine OLTP-Workload (Online Transaction Processing) auf AWS unter Verwendung einer unverschlüsselten Amazon RDS DB-Instance in einer Multi-AZ-Bereitstellung. Täglich werden DB-Snapshots erstellt. Was sollte ein Solutions Architect tun, um sicherzustellen, dass die Datenbank und die Snapshots zukünftig immer verschlüsselt sind?

Um eine unverschlüsselte RDS-DB-Instance und ihre zukünftigen Snapshots zu verschlüsseln, müssen Sie den neuesten unverschlüsselten Snapshot kopieren und dabei die Verschlüsselung aktivieren. Anschließend stellen Sie aus diesem verschlüsselten Snapshot eine neue DB-Instance wieder her. Diese neue Instance ist dann verschlüsselt, und alle zukünftigen automatischen Snapshots dieser Instance werden ebenfalls verschlüsselt sein. Die ursprüngliche unverschlüsselte Instance kann danach gelöscht werden. Die Option, ein neues verschlüsseltes EBS-Volume zu erstellen und Snapshots darauf zu kopieren, ist für RDS-Snapshots nicht direkt anwendbar, da RDS die zugrunde liegenden EBS-Volumes abstrahiert. Das Kopieren von Snapshots und Aktivieren der Verschlüsselung mit AWS KMS, um sie auf einer vorhandenen DB-Instance wiederherzustellen, funktioniert nicht, da eine bestehende RDS-Instance nicht nachträglich verschlüsselt werden kann. Das Kopieren von Snapshots in einen S3-Bucket mit SSE-KMS verschlüsselt nur die Snapshots in S3, nicht aber die RDS-DB-Instance selbst oder ihre zukünftigen automatischen Snapshots.