FinServe Analytics exécute une instance de production Amazon RDS for PostgreSQL dans la région us-east-1 qui a été créée non chiffrée. La conformité exige désormais le chiffrement au repos à l'aide d'une clé KMS gérée par le client. Ils veulent minimiser les temps d'arrêt pendant la migration. Que devraient-ils faire ?

La bonne approche consiste à prendre un instantané de l'instance RDS non chiffrée, puis à copier cet instantané en spécifiant le chiffrement avec une clé KMS gérée par le client. Ensuite, vous restaurez une nouvelle instance RDS à partir de cet instantané chiffré. Enfin, vous basculez le trafic de l'ancienne instance vers la nouvelle instance chiffrée pendant une fenêtre de maintenance planifiée, ce qui minimise les temps d'arrêt. Modifier l'instance existante pour activer le chiffrement sur place n'est pas possible avec RDS ; le chiffrement ne peut pas être activé sur une instance non chiffrée après sa création. Activer le chiffrement EBS par défaut n'affecte pas les volumes existants d'une instance RDS. Partager une CMK n'active pas le chiffrement sur une instance existante non chiffrée.