FinServe Analytics는 us-east-1에서 암호화되지 않은 상태로 생성된 프로덕션 Amazon RDS for PostgreSQL 인스턴스를 실행하고 있습니다. 규정 준수(Compliance)를 위해 이제 고객 관리형 KMS 키를 사용하여 저장 데이터 암호화(encryption at rest)를 해야 합니다. 마이그레이션 중 다운타임을 최소화하려면 어떻게 해야 할까요?

이 방법은 다운타임을 최소화하면서 암호화되지 않은 RDS 인스턴스를 고객 관리형 KMS 키로 암호화하는 가장 효과적인 방법입니다. 암호화되지 않은 스냅샷을 복사할 때 KMS 키를 지정하여 암호화된 스냅샷을 생성할 수 있습니다. 이 암호화된 스냅샷에서 새 RDS 인스턴스를 복원하면, 기존 인스턴스가 계속 작동하는 동안 새 암호화된 인스턴스를 준비할 수 있습니다. 최종 전환은 짧은 유지 보수 기간 동안 이루어지므로 서비스 중단이 최소화됩니다. 다른 옵션들은 다음과 같은 이유로 적합하지 않습니다. 기존 DB 인스턴스를 직접 수정하여 암호화를 활성화할 수 없습니다. RDS는 인스턴스 생성 시점에만 암호화 설정을 지정할 수 있습니다. EBS 암호화를 계정에서 활성화해도 기존 RDS 인스턴스에는 적용되지 않습니다. RDS 인스턴스는 생성 시점의 암호화 설정을 따릅니다. KMS 키를 공유하는 것은 가능하지만, 스냅샷/복원 과정 없이 기존 인스턴스에서 암호화를 활성화하는 것은 불가능합니다.