2019-04-25

【AWS】暗号化されていないRDSスナップショットを別AWSアカウントに共有する方法

TL;DR

暗号化されていないRDS(MySQL)スナップショットを別AWSアカウントに共有する方法を記載しています。

前提条件

暗号化されていないRDS(MySQL)を作成していること。

f:id:koooosuke:20190425144548p:plain

データがなかったので、適当にTable作成しました。

mysql>create table test_db.user (id int, name varchar(10));
mysql>insert into user (id, name) values (1, "ichiro"), (2, "jiro"), (3, "saburo");

やってみます

1. スナップショットをとる。

スナップショットの取得 f:id:koooosuke:20190425150515p:plain

スナップショット名を入力して、スナップショットの取得します。 f:id:koooosuke:20190425150811p:plain

スナップショット取得完了しました。 f:id:koooosuke:20190425151124p:plain

2.スナップショットを別アカウントに共有する。

スナップショットの共有 f:id:koooosuke:20190425151235p:plain

DB スナップショットの可視性をプライベートにしてAWS アカウントIDに共有したいIDを追加して、スナップショットを共有します。 f:id:koooosuke:20190425151608p:plain

3.共有されたスナップショットの確認

共有したいAWSアカウントでログインした上でスナップショット>共有ファイルにフィルタすると確認できました。 f:id:koooosuke:20190425152013p:plain

あとは、通常通りスナップショットの復元からDBインスタンスを立ち上げれば完了です。

2019-04-23

【AWS】S3を別AWSアカウントに移管する方法

TL;DR

S3を別AWSアカウントに移管する方法を記載しています。

やってみます。

1.まず、コピー先のAWSアカウントID番号を取得しておきます。

※マイアカウント>アカウントIDとかに書いてあるやつです。

2.コピー元アカウントから、コピー先アカウントがオブジェクトを取得できるように以下のポリシーをコピー元のバケットにアタッチします。

※<コピー先のAWSアカウントID番号>と<コピー元のS3のバケット名>の部分は修正しますmm

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DelegateS3Access",
            "Effect": "Allow",
            "Principal": {"AWS": "<コピー先のAWSアカウントID番号>"},
            "Action": ["s3:ListBucket","s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::<コピー元のS3のバケット名>/*",
                "arn:aws:s3:::<コピー元のS3のバケット名>"
            ]
        }
    ]
}

こんな感じで変えてみます。 f:id:koooosuke:20190423215921p:plain

3.続いて、コピー先のバケットを作成しておきます。(destination-resource)

f:id:koooosuke:20190423220816p:plain

4.次にコピー先アカウントのユーザーを作成して、以下を参考にポリシーをアタッチします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::<コピー元のS3のバケット名>",
                "arn:aws:s3:::<コピー元のS3のバケット名>/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::<コピー先のS3のバケット名>",
                "arn:aws:s3:::<コピー先のS3のバケット名>/*"
            ]
        }
    ]
}

自分の場合、こんな感じになっています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::original-resource",
                "arn:aws:s3:::/original-resource/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::destination-resource",
                "arn:aws:s3:::destination-resource/*"
            ]
        }
    ]
}

で、なぜかアクセス拒否されてしまうので、一旦ポリシーをフルアクセスにに変更しました。(解決したら修正します。)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

5.以下のAWS CLIのコマンドを実行

$ aws s3 sync s3://original-resource s3://destination-resource
copy: s3://original-resource/terraform.json to s3://destination-resource/terraform.json
copy: s3://original-resource/test/iOS の画像.jpg to s3://destination-resource/test/iOS の画像.jpg

これでなんとかコピーされました！