FinServe Analytics gestisce un'istanza di produzione Amazon RDS for PostgreSQL in us-east-1 che è stata creata senza crittografia. La conformità ora richiede la crittografia a riposo utilizzando una chiave KMS gestita dal cliente. Vogliono ridurre al minimo i tempi di inattività durante la migrazione. Cosa dovrebbero fare?

La creazione di uno snapshot del DB non crittografato, la sua copia con crittografia utilizzando una chiave KMS gestita dal cliente e il ripristino di una nuova istanza crittografata sono il metodo standard e raccomandato da AWS per aggiungere la crittografia a un'istanza RDS esistente che non è stata crittografata al momento della creazione. Questo approccio garantisce che tutti i dati a riposo siano crittografati e consente di pianificare il tempo di inattività durante il failover alla nuova istanza. Modificare l'istanza DB esistente per abilitare la crittografia in loco non è possibile; la crittografia RDS può essere abilitata solo al momento della creazione dell'istanza o tramite il processo di snapshot/copia/ripristino. Abilitare la crittografia EBS per impostazione predefinita non influisce sulle istanze RDS esistenti, poiché RDS gestisce la crittografia a livello di servizio. Condividere una CMK e tentare di abilitare la crittografia sull'istanza esistente non è un'opzione valida per le istanze RDS non crittografate.