FinServe Analytics использует производственный экземпляр Amazon RDS for PostgreSQL в регионе us-east-1, который был создан без шифрования. В настоящее время соответствие требованиям обязывает использовать шифрование неактивных данных с помощью управляемого клиентом ключа KMS. Они хотят минимизировать время простоя во время миграции. Что им следует сделать?

Правильный ответ — создание снимка незашифрованной БД, копирование его с шифрованием с использованием управляемого клиентом ключа KMS, восстановление нового зашифрованного экземпляра и переключение во время окна обслуживания. Это стандартный и рекомендуемый AWS метод для добавления шифрования к существующему незашифрованному экземпляру RDS с минимальным временем простоя. Процесс копирования снимка позволяет указать ключ KMS для шифрования данных. Изменение существующего экземпляра БД для включения шифрования на месте невозможно, так как RDS не поддерживает включение шифрования для уже существующих незашифрованных экземпляров. Включение шифрования EBS по умолчанию в аккаунте не повлияет на уже существующие тома RDS, созданные без шифрования. Совместное использование CMK и попытка включить шифрование на существующем экземпляре также не сработает по той же причине, что и изменение на месте.