Администратору SysOps необходимо обмениваться снимками Amazon RDS между аккаунтами AWS, принадлежащими разным бизнес-подразделениям. Снимки должны оставаться зашифрованными в состоянии покоя. Какой подход должен использовать администратор для достижения этой цели?

Правильный ответ — предоставить другим аккаунтам AWS разрешения в политике ключа KMS, используемого для шифрования снимка, а затем поделиться снимком с этими аккаунтами. Это стандартный и безопасный метод обмена зашифрованными снимками RDS между аккаунтами. Политика ключа KMS должна разрешать другим аккаунтам использовать ключ для расшифровки. После этого снимок можно напрямую скопировать в целевые аккаунты, сохраняя шифрование. Неправильные варианты: Загрузка и локальная расшифровка снимка непрактична и небезопасна для больших баз данных, а также нарушает принцип сохранения шифрования в состоянии покоя. Создание инстанса EC2 из снимка и последующее создание снимков EBS не относится к снимкам RDS и является обходным путем, который не сохраняет прямое шифрование RDS. Восстановление в незашифрованный инстанс и экспорт данных через SSH/RDP является трудоемким, небезопасным и не соответствует требованию сохранения шифрования в состоянии покоя.