Aurora Serverless v1 のデフォルトKMSキーで暗号化したスナップショットを他アカウントへ共有するために必要なこと

大村保貴

2021.11.26

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Aurora Serverless v1のデータベースを他アカウントに移行する機会がありました。移行方法はスナップショット（バックアップ）を共有して共有先アカウントで復元するシンプルな方法です。

今回対象のAurora Serverlss v1はデフォルトKMSキーで暗号化されています。作業の様子を通して必要な作業を紹介します。

Icons made by Freepik from www.flaticon.com

必要作業まとめ

前提としてデフォルトKMSキーで暗号化されたスナップショットは他アカウントに共有できません。

KMSでカスタマー管理型のキー（CMK）を作成する
作成したCMKを共有先アカウントに共有する
1. KMSのキーポリシー編集（マネコンからなら簡単）
スナップショットをコピーしCMKで暗号化し直す
CMKで暗号化し直したスナップショットを共有先アカウントへ共有する（やっとできる）

Icons made by Freepik from www.flaticon.com

最終的に以下の流れでスナップショットを他アカウントへコピーしました。

Icons made by Freepik from www.flaticon.com

とりあえず共有してみる

Icons made by Freepik from www.flaticon.com

スナップショットを共有したくても以下のエラーにより設定できません。

エラーメッセージ

RDS のデフォルトサービスキーで暗号化されたスナップショットの共有は、現在サポートされていません。

ドキュメントを確認するとAurora Serverless v1特有の制限というわけではなく、デフォルトのKMSキーで暗号化したスナップショットは共有できないのですね。

You can't share a snapshot that has been encrypted using the default KMS key of the AWS account that shared the snapshot.

引用: Sharing a DB snapshot - Amazon Relational Database Service

共有元アカウント上の作業

デフォルトKMSキーでなければ共有できることがわかりました。暗号化し直してからスナップショットの共有までやってみます。

KMSでCMKを作成

スナップショットを共有するためにカスタマー管理型のキーを作成します。

キータイプ: 対称を指定
キー管理者: 作業する方のIAMユーザーまたは、IAMロールを指定
キーの使用アクセス許可を定義: 未指定
別のAWSアカウント: 共有先のAWSアカウントIDを入力

ポイント

暗号鍵（CMK）も共有先アカウントに共有する必要があります。

キー作成例

キーポリシー参考例

共有元アカウントID: 111111111111
共有先アカウントID: 999999999999

{
    "Id": "key-consolepolicy-3",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow access for Key Administrators",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111111111111:role/cm-ohmura.yasutaka",
                    "arn:aws:iam::111111111111:role/hogehoge",
                ]
            },
            "Action": [
                "kms:Create*",
                "kms:Describe*",
                "kms:Enable*",
                "kms:List*",
                "kms:Put*",
                "kms:Update*",
                "kms:Revoke*",
                "kms:Disable*",
                "kms:Get*",
                "kms:Delete*",
                "kms:TagResource",
                "kms:UntagResource",
                "kms:ScheduleKeyDeletion",
                "kms:CancelKeyDeletion"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::999999999999:root"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow attachment of persistent resources",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::999999999999:root"
            },
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": "true"
                }
            }
        }
    ]
}