FinServe Analytics betreibt eine unverschlüsselte Amazon RDS for PostgreSQL-Produktionsinstanz in us-east-1. Die Compliance erfordert nun eine Verschlüsselung ruhender Daten mithilfe eines kundenverwalteten KMS-Schlüssels. Sie möchten die Ausfallzeiten während der Migration minimieren. Was sollten sie tun?

Die Erstellung eines Snapshots der unverschlüsselten DB, das Kopieren des Snapshots mit Verschlüsselung und das Wiederherstellen einer neuen verschlüsselten Instanz ist der empfohlene Weg, um eine unverschlüsselte RDS-Instanz zu verschlüsseln und Ausfallzeiten zu minimieren. Der Wechsel während eines Wartungsfensters ermöglicht eine kontrollierte Umstellung. Die direkte Änderung einer bestehenden RDS-Instanz zur Aktivierung der Verschlüsselung ist nicht möglich; RDS unterstützt keine Online-Verschlüsselung einer bereits vorhandenen unverschlüsselten Instanz. Die Aktivierung der EBS-Verschlüsselung standardmäßig im Konto beeinflusst nur neue EBS-Volumes und nicht die zugrunde liegenden Volumes einer bestehenden RDS-Instanz. Das Teilen eines CMK und die Aktivierung der Verschlüsselung auf der vorhandenen Instanz ist aus denselben Gründen wie die zweite Option nicht möglich.