FinServe Analytics uruchamia produkcyjną instancję Amazon RDS for PostgreSQL w regionie us-east-1, która została utworzona bez szyfrowania. Zgodność z przepisami wymaga teraz szyfrowania danych w spoczynku (at rest) przy użyciu klucza KMS zarządzanego przez klienta. Chcą zminimalizować przestoje podczas migracji. Co powinni zrobić?

Prawidłowa odpowiedź minimalizuje przestoje, co jest kluczowe w środowisku produkcyjnym. Tworzenie zaszyfrowanej migawki z niezaszyfrowanej bazy danych, a następnie przywracanie jej jako nowej, zaszyfrowanej instancji, to standardowa metoda szyfrowania istniejących baz danych RDS. Przełączenie podczas okna serwisowego zapewnia kontrolowaną migrację. Modyfikacja istniejącej instancji w celu włączenia szyfrowania w miejscu nie jest możliwa dla RDS; szyfrowanie musi być ustawione podczas tworzenia instancji lub poprzez proces migawki/przywracania. Włączenie domyślnego szyfrowania EBS nie wpłynie na istniejącą instancję RDS, ponieważ szyfrowanie jest zarządzane na poziomie usługi RDS, a nie bezpośrednio na woluminach EBS. Udostępnienie klucza KMS i próba włączenia szyfrowania bez migawki/przywracania również nie jest obsługiwane dla istniejących, niezaszyfrowanych instancji RDS.