DB スナップショットの共有

Amazon RDS を使用すると、次の方法で手動 DB スナップショットを共有できます。

• 手動 DB スナップショットを共有すると、暗号化されているかいないかに関係なく、権限のある AWS アカウント がスナップショットをコピーできるようになります。

• 暗号化されていない手動 DB スナップショットを共有すると、権限のある AWS アカウント が、DB インスタンスをコピーしてそこから復元するのではなく、スナップショットから DB インスタンスを直接復元できるようになります。ただし、共有され暗号化された DB スナップショットから、DB インスタンスを復元することはできません。代わりに、DB スナップショットのコピーを作成し、そのコピーから DB インスタンスを復元できます。

注記

自動 DB スナップショットを共有するには、自動 DB スナップショットをコピーしてそのコピーを共有することで、手動スナップショットを作成します。このプロセスは、AWS Backup で生成されたリソースにも適用されます。

スナップショットのコピーの詳細については、「DB スナップショットのコピー」を参照してください。DB スナップショットから DB インスタンスを復元する方法については、「DB スナップショットからの復元」を参照してください。

手動スナップショットを最大 20 のその他の AWS アカウント と共有することができます。

手動スナップショットを他の AWS アカウント と共有する場合には、以下の制限が適用されます。

• AWS Command Line Interface (AWS CLI) または Amazon RDS API を使用して共有スナップショットから DB インスタンスを復元する際、スナップショット識別子として共有スナップショットの Amazon リソースネーム (ARN) を指定する必要があります。

• 固定オプションまたは永続オプションを持つオプショングループを使用する DB スナップショットを共有することはできません。Timezone または OLS オプション (あるいはその両方) を持つ Oracle DB インスタンスを除きます。

  固定オプションはオプショングループから削除できません。永続オプションを含むオプショングループは、そのオプショングループが DB インスタンスに割り当てられると、DB インスタンスから削除できなくなります。

  次の表は、固定オプションおよび永続オプションと、それらに関連する DB エンジンをリストしています。

  オプション名	永続	固定	DB エンジン
  TDE	はい	いいえ	Microsoft SQL Server Enterprise Edition
  TDE	はい	はい	Oracle Enterprise Edition
  タイムゾーン	はい	はい	Oracle Enterprise Edition Oracle Standard Edition Oracle Standard Edition One Oracle Standard Edition 2

  Oracle DB インスタンスの場合、Timezone または OLS オプション (あるいはその両方) を持つ共有 DB スナップショットをコピーできます。そのためには、DB スナップショットをコピーするときにこれらのオプションを含むターゲットオプショングループを指定します。OLS オプションは、Oracle バージョン 12.2 以降を実行している Oracle DB インスタンスに対してのみ恒久的かつ永続的です。これらのオプションの詳細については、「Oracle のタイムゾーン」および「Oracle Label Security」を参照してください。

• マルチ AZ DB クラスターのスナップショットは共有できません。

目次

• スナップショットの共有
• 公開スナップショットの共有
  • 他の AWS アカウント が所有するパブリックスナップショットの表示
  • 独自の公開スナップショットの表示
  • 廃止された DB エンジンバージョンからのパブリックスナップショットの共有
• 暗号化されたスナップショットの共有
  • カスタマーマネージドキーを作成し、そのキーへのアクセス権を付与する
  • ソースアカウントからスナップショットをコピーして共有する
  • ターゲットアカウントに共有したスナップショットをコピーします。
• スナップショット共有の停止

スナップショットの共有

AWS Management Console、AWS CLI、または RDS API を使用して、DB スナップショットを共有できます。

コンソール

Amazon RDS コンソールを使用して、手動 DB スナップショットを最大 20 の AWS アカウント と共有することができます。また、コンソールを使用して、手動 スナップショットの 1 つ以上のアカウントとの共有を停止することもできます。

Amazon RDS コンソールを使用して、手動 DB スナップショットを共有するには

1. AWS Management Console にサインインし、Amazon RDS コンソール https://console.aws.amazon.com/rds/ を開きます。

2. ナビゲーションペインで、[Snapshots] を選択します。

3. 共有する手動スナップショットを選択します。

4. [Actions] (アクション) で、[Share snapshot] (スナップショットの共有) を選択します。

5. [DB snapshot visibility] で次のいずれかのオプションを選択します。

   • ソースが暗号化されていない場合、[パブリック] を選択して、すべての AWS アカウントが DB インスタンスを手動 DB スナップショットから復元できるようにするか、[プライベート] を選択して、指定した AWS アカウント だけが、DB インスタンスを手動 DB スナップショットから復元できるようにします。

     警告

     [DB スナップショットの可視性] を [パブリック] に設定した場合、すべての AWS アカウント が手動 DB スナップショットから DB インスタンスを復元し、データにアクセスできるようになります。プライベート情報を含む手動 DB スナップショットは、[Public] として共有しないでください。

     詳細については、「公開スナップショットの共有」を参照してください。

   • 出典 DB クラスターが暗号化されている場合、暗号化されているスナップショットはパブリックとして共有できないため、[DB snapshot visibility] が [Private] に設定されます。

     注記

     デフォルトの AWS KMS key で暗号化されたスナップショットは共有できません。この問題を回避する方法については、「暗号化されたスナップショットの共有」を参照してください。

6. [AWS アカウント ID] では、手動スナップショットからの DB インスタンスの復元を許可するアカウントの AWS アカウント 識別子を入力してから、[追加] を選択します。この操作を繰り返して、AWS アカウント 識別子を最大 20 AWS アカウント まで含めます。

   許可されたアカウントのリストに AWS アカウント 識別子を誤って追加した場合には、正しくない AWS アカウント 識別子の右側にある [削除] を選択すれば、削除することができます。

   

7. 手動スナップショットの復元を許可するすべての AWS アカウント の識別子を追加した後、[保存] を選択して、変更を保存します。

AWS CLI

DB スナップショットを共有するには、aws rds modify-db-snapshot-attribute コマンドを使用します。--values-to-add のパラメータを使用して、手動スナップショットの復元が許可されている AWS アカウント のための ID リストを追加します。

例 スナップショットを 1 つのアカウントで共有する

次の例では、AWS アカウント 識別子 123456789012 が db7-snapshot という名前の DB スナップショットを復元できるようにします。

Linux、macOS、Unix の場合:

aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier db7-snapshot \
--attribute-name restore \
--values-to-add 123456789012

Windows の場合:

aws rds modify-db-snapshot-attribute ^
--db-snapshot-identifier db7-snapshot ^
--attribute-name restore ^
--values-to-add 123456789012

例 複数のアカウントでスナップショットを共有する

次の例では、2 つの AWS アカウント 識別子 111122223333 および 444455556666 が manual-snapshot1 という名前の DB スナップショットを復元できるようにします。

Linux、macOS、Unix の場合:

aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier manual-snapshot1 \
--attribute-name restore \
--values-to-add {"111122223333","444455556666"}

Windows の場合:

aws rds modify-db-snapshot-attribute ^
--db-snapshot-identifier manual-snapshot1 ^
--attribute-name restore ^
--values-to-add "[\"111122223333\",\"444455556666\"]"

注記

Windows コマンドプロンプトを使用する場合、JSON コードでは、二重引用符 (") の前にバックスラッシュ (\) を付けてエスケープする必要があります。

スナップショットの復元が有効になっている AWS アカウント を一覧表示するには、describe-db-snapshot-attributes AWS CLI コマンドを使用します。

RDS API

Amazon RDS API を使用することで、手動 DB スナップショットを他の AWS アカウント と共有することもできます。そのためには、ModifyDBSnapshotAttribute オペレーションを呼び出します。AttributeName に restore を指定し、ValuesToAdd パラメータを使用して、手動 スナップショットの復元が許可されている AWS アカウント の ID のリストを追加します。

手動スナップショットをパブリックにして、すべての AWS アカウント による復元を可能にするには、値 all を使用します。ただし、すべての AWS アカウント には利用させたくないプライベート情報を含む手動スナップショットについては、値 all を追加しないように注意してください。また、暗号化されているスナップショットでは all を指定しないでください。そのようなスナップショットをパブリックにすることはできないためです。

スナップショットを復元することが許可されているすべての AWS アカウント を一覧表示するには、DescribeDBSnapshotAttributes API オペレーションを使用します。

公開スナップショットの共有

暗号化されていない手動スナップショットをパブリックとして共有することもできます。これにより、このスナップショットをすべての AWS アカウント が使用できるようになります。スナップショットを公開として共有する場合には、公開スナップショットにプライベート情報が含まれないように注意してください。

スナップショットがパブリックに共有されると、スナップショットをコピーし、そこから DB インスタンスを作成するためのすべての AWS アカウント アクセス許可が付与されます。

他のアカウントが所有する公開スナップショットのバックアップストレージについては課金されません。課金されるのは、所有しているスナップショットに対してのみです。

公開スナップショットをコピーする場合は、そのコピーを所有します。スナップショットコピーのバックアップストレージに対しては課金されます。DB インスタンスを公開スナップショットから作成する場合、その DB インスタンスに対して課金されます。Amazon RDS の料金情報については、Amazon RDS の製品ページを参照してください。

削除できるのは、所有している公開スナップショットのみです。共有またはパブリックスナップショットを削除するには、そのスナップショットを所有する AWS アカウント にログインできることを確認してください。

他の AWS アカウント が所有するパブリックスナップショットの表示

Amazon RDS コンソールの [Snapshots] (スナップショット) ページにある [Public] (公開) タブの特定の AWS リージョンで、他のアカウントが所有する公開スナップショットを表示できます。(自分のアカウントが所有する) スナップショットは、このタブには表示されません。

公開スナップショットを表示するには

1. Amazon RDS コンソール (https://console.aws.amazon.com/rds/) を開きます。

2. ナビゲーションペインで、[Snapshots] を選択します。

3. [Public (公開)] タブを選択します。

   公開スナップショットが表示されます。[Owner (所有者)] 列に、公開スナップショットを所有しているアカウントが表示されます。

   注記

   ページ設定を変更する必要がある場合、[Public snapshots (公開スナップショット)] リストの右上にあるギヤアイコンを選択して、この列を表示させます。

独自の公開スナップショットの表示

次の AWS CLI コマンド (Unix のみ) を使用して、特定の AWS リージョンの AWS アカウント が所有するパブリックスナップショットを表示することができます。

aws rds describe-db-snapshots --snapshot-type public --include-public | grep account_number

公開スナップショットがある場合、次の例のような出力が返されます。

"DBSnapshotArn": "arn:aws:rds:us-east-1:123456789012:snapshot:mysnapshot1",
"DBSnapshotArn": "arn:aws:rds:us-east-1:123456789012:snapshot:mysnapshot2",

注記

DBSnapshotIdentifier または SourceDBSnapshotIdentifier のエントリが重複する場合があります。

廃止された DB エンジンバージョンからのパブリックスナップショットの共有

廃止された DB エンジンバージョンからのパブリックスナップショットの復元またはコピーはサポートされていません。

RDS for Oracle エンジンと RDS for PostgreSQL DB エンジンは、DB スナップショットのエンジンバージョンの直接アップグレードをサポートしています。スナップショットをアップグレードして、再度パブリックに共有できます。詳細については、次を参照してください:

• Oracle DB スナップショットのアップグレード

• PostgreSQL DB スナップショットエンジンのバージョンのアップグレード

その他の DB エンジンでは、以下の手順を実行して、サポート対象外の既存のパブリックスナップショットを復元したりコピーしたりできます。

1. スナップショットをプライベートとしてマークします。

2. スナップショットを復元します。

3. 復元した DB インスタンスを、サポートされているエンジンバージョンにアップグレードします。

4. 新しいスナップショットを作成します。

5. スナップショットをパブリックに再共有します。

暗号化されたスナップショットの共有

「Amazon RDS リソースの暗号化」で説明しているように、AES-256 暗号化アルゴリズムを使用して暗号化された「保存中」の DB スナップショットを共有できます。

以下の制限は、暗号化されたスナップショットの共有に適用されます。

• 暗号化されたスナップショットをパブリックとして共有することはできません。

• Transparent Data Encryption (TDE) を使用して暗号化されている Oracle または Microsoft SQL Server のスナップショットを共有することはできません。

• スナップショットを共有した AWS アカウント のデフォルト KMS キーを使用して暗号化されたスナップショットを共有することはできません。

デフォルトの KMS キーの問題を回避するには、以下のタスクを実行します。

1. カスタマーマネージドキーを作成し、そのキーへのアクセス権を付与する.

2. ソースアカウントからスナップショットをコピーして共有する.

3. ターゲットアカウントに共有したスナップショットをコピーします。.

カスタマーマネージドキーを作成し、そのキーへのアクセス権を付与する

まず、暗号化された DB スナップショットと同じ AWS リージョン にカスタム KMS キーを作成します。カスタマーマネージドキーの作成中に、別の AWS アカウント にそのキーへのアクセス権を付与します。

カスタマーマネージドキーを作成し、そのキーへのアクセス権を付与するには

1. ソース AWS アカウント から AWS Management Console にサインインします。

2. AWS KMS コンソール (https://console.aws.amazon.com/kms) を開きます。

3. AWS リージョン を変更するには、ページの右上隅にあるリージョンセレクターを使用します。

4. ナビゲーションペインで、[カスタマーマネージドキー] を選択します。

5. [Create key] (キーの作成) を選択します。

6. [キーの設定] ページで、次の操作を行います。

   1. [キータイプ] として、[対称] を選択します。

   2. [キーの使用] で、[暗号化および復号化] を選択します。

   3. [詳細オプション] を展開します。

   4. [キーマテリアルオリジン] として、[KMS] を選択します。

   5. [リージョン] で、[単一リージョンキー] を選択します。

   6. [Next] を選択します。

7. [ラベルを追加] ページで以下のように操作します。

   1. [エイリアス] には、share-snapshot のように KMS キーの表示名を入力します。

   2. (オプション) KMS キーの説明を入力します。

   3. (オプション) KMS キーにタグを追加します。

   4. [Next] を選択します。

8. [キー管理アクセス許可の定義] ページで、[次へ] をクリックします。

9. [キーの使用アクセス許可の定義] ページで、次の操作を行います。

   1. [その他の AWS アカウント] では、[別の AWS アカウント の追加] を選択します。

   2. アクセスを許可する AWS アカウント の ID を入力します。

      複数の AWS アカウント にアクセス権を付与できます。

   3. [Next] を選択します。

10. KMS キーを確認し、[終了] を選択します。

ソースアカウントからスナップショットをコピーして共有する

次に、カスタマーマネージドキーを使用して、ソース DB スナップショットを新しいスナップショットにコピーします。次に、ターゲット AWS アカウント と共有します。

スナップショットをコピーして共有するには

1. ソース AWS アカウント から AWS Management Console にサインインします。

2. Amazon RDS コンソール (https://console.aws.amazon.com/rds/) を開きます。

3. ナビゲーションペインで、[Snapshots] を選択します。

4. コピーする DB スナップショットを選択します。

5. [アクション] で、[スナップショットをコピー] を選択します。

6. [スナップショットのコピー] ページで、次の操作を行います。

   1. [デスティネーションリージョン] で、前の手順でカスタマーマネージドキーを作成した場所を選択します。

   2. [新しい DB スナップショットの識別子] に、DB スナップショットのコピーの名前を入力します。

   3. [AWS KMS key] で、作成したカスタマーマネージドキーを選択します。

      

   4. [スナップショットのコピー] を選択します。

7. スナップショットのコピーが使用可能になったら、それを選択します。

8. [Actions] (アクション) で、[Share snapshot] (スナップショットの共有) を選択します。

9. [スナップショットのアクセス許可] ページで、次の操作を行います。

   1. スナップショットのコピーを共有する [AWS アカウント ID] を入力し、[追加] を選択します。

   2. [Save] を選択します。

   スナップショットが共有されます。

ターゲットアカウントに共有したスナップショットをコピーします。

これで、ターゲット AWS アカウント で共有スナップショットをコピーできます。

共有したスナップショットをコピーするには

1. ターゲット AWS アカウント から AWS Management Console にサインインします。

2. Amazon RDS コンソール (https://console.aws.amazon.com/rds/) を開きます。

3. ナビゲーションペインで、[Snapshots] を選択します。

4. [自分と共有] タブを選択します。

5. 共有スナップショットを選択します。

6. [アクション] で、[スナップショットをコピー] を選択します。

7. 前の手順のようにスナップショットをコピーするための設定を選択しますが、ターゲットアカウントに属する AWS KMS key を使用します。

   [スナップショットのコピー] を選択します。

スナップショット共有の停止

DB スナップショットの共有を停止するには、ターゲット AWS アカウント からアクセス許可を削除します。

コンソール

AWS アカウント との手動 DB スナップショットの共有を停止するには

1. AWS Management Console にサインインし、Amazon RDS コンソール https://console.aws.amazon.com/rds/ を開きます。

2. ナビゲーションペインで、[Snapshots] を選択します。

3. 共有を停止する手動スナップショットを選択します。

4. [Actions] (アクション) を選択してから、[Share Snapshot] (スナップショットの共有) を選択します。

5. AWS アカウント のアクセス許可を削除するには、アクセス権限が付与されたアカウントのリストからそのアカウントの AWS アカウント識別子を選択し、[削除] を選択します。

6. [保存] を選択して変更を保存します。

CLI

リストから AWS アカウント の識別子を削除するには、--values-to-remove のパラメータを使用します。

例 スナップショット共有を停止する

次の例は、AWS アカウント ID 444455556666 がスナップショットを復元できないようにします。

Linux、macOS、Unix の場合:

aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier manual-snapshot1 \
--attribute-name restore \
--values-to-remove 444455556666

Windows の場合:

aws rds modify-db-snapshot-attribute ^
--db-snapshot-identifier manual-snapshot1 ^
--attribute-name restore ^
--values-to-remove 444455556666

RDS API

AWS アカウント でのアクセス許可の共有を削除するには、AttributeName を restore に設定し、かつ ValuesToRemove パラメータを含めて、ModifyDBSnapshotAttribute オペレーションを使用します。手動 スナップショットをプライベートとしてマークするには、all 属性の値リストから値 restore を削除します。