Una empresa almacena datos confidenciales en una base de datos Amazon Aurora PostgreSQL en la región ap-southeast-3, cifrada con una clave administrada por el cliente de AWS KMS. La empresa fue adquirida y debe compartir de forma segura una copia de seguridad de la base de datos con la cuenta de AWS de la empresa adquirente en ap-southeast-3. ¿Qué debe hacer un arquitecto de soluciones para cumplir con estos requisitos?

Para compartir una instantánea cifrada de Amazon Aurora con otra cuenta de AWS, la cuenta receptora debe tener permiso para usar la clave KMS que cifró la instantánea. Por lo tanto, el arquitecto debe crear una instantánea y luego modificar la política de la clave KMS administrada por el cliente para permitir que la cuenta de AWS adquirente la use. Finalmente, la instantánea se puede compartir directamente con la cuenta adquirente. La opción de crear una instantánea sin cifrar no es válida porque no se puede copiar una instantánea cifrada a una sin cifrar directamente; siempre se debe copiar a otra instantánea cifrada con una clave diferente o la misma clave. La opción de usar una clave KMS administrada por AWS no es adecuada porque la base de datos original usa una clave administrada por el cliente, y agregar una cuenta a un alias de KMS no otorga permisos sobre la clave subyacente. Descargar y cargar la instantánea a S3 es un proceso manual, ineficiente y no es la forma recomendada para compartir instantáneas de Aurora.