Sie müssen einem Migrationskonto eine Kopie eines RDS-Datenbank-Snapshots aus der Produktion zur Verfügung stellen. Die RDS-Instance ist mit einem KMS-Schlüssel (Alias production-rds-key) verschlüsselt. Welcher Ansatz hat den geringsten administrativen Aufwand, um den Snapshot mit dem Migrationskonto zu teilen?

Der einfachste Weg, einen verschlüsselten RDS-Snapshot kontoübergreifend zu teilen, besteht darin, dem Zielkonto Zugriff auf den KMS-Schlüssel zu gewähren, der den Snapshot verschlüsselt. Zuerst erstellen Sie den Snapshot im Produktionskonto. Dann aktualisieren Sie die KMS-Schlüsselrichtlinie des production-rds-key, um dem Root-Principal des Migrationskontos die notwendigen Berechtigungen (z.B. kms:Decrypt) zu erteilen. Schließlich teilen Sie den Snapshot direkt mit dem Migrationskonto. Das Migrationskonto kann dann eine neue RDS-Instance aus diesem Snapshot wiederherstellen. Eine Read Replica im Migrationskonto zu erstellen, ist nicht der primäre Weg, einen Snapshot zu teilen, und erfordert zusätzliche Schritte zur Schlüsselreplikation, die komplexer sind. Einen neuen KMS-Schlüssel mit demselben Alias zu erstellen, ist unzureichend, da der Snapshot mit dem ursprünglichen Schlüssel verschlüsselt ist. Das Exportieren und Importieren über S3 ist eine manuelle und zeitaufwändige Methode, die für die Migration großer Datenbanken nicht optimal ist und den Verwaltungsaufwand erhöht.