FinServe Analytics は、us-east-1 で暗号化されていない状態で作成された本番の Amazon RDS for PostgreSQL インスタンスを実行しています。コンプライアンスにより、カスタマーマネージド KMS キーを使用した保存時の暗号化が義務付けられました。移行中のダウンタイムを最小限に抑えたいと考えています。どうすればよいですか？

この方法は、RDSインスタンスの暗号化状態を変更する際の標準的かつ推奨される手順です。暗号化されていないスナップショットをKMSキーで暗号化されたスナップショットとしてコピーし、そこから新しい暗号化されたインスタンスを復元することで、ダウンタイムを最小限に抑えつつ要件を満たせます。既存のインスタンスをインプレースで暗号化することはできません。EBS暗号化のデフォルト設定は新しいボリュームにのみ適用され、既存のRDSインスタンスの暗号化状態を変更しません。中央セキュリティアカウントからのCMK共有は、暗号化プロセス自体を直接有効にするものではありません。