DB 클러스터 스냅샷 공유

Neptune을 사용하면 다음과 같은 방법으로 수동 DB 클러스터 스냅샷을 공유할 수 있습니다.

암호화되었거나 암호화되지 않은 수동 DB 클러스터 스냅샷을 공유하면 권한이 있는 AWS 계정에서 해당 스냅샷을 복사할 수 있습니다.
암호화되었거나 암호화되지 않은 수동 DB 클러스터 스냅샷을 공유하면 권한이 있는 AWS 계정에서 스냅샷의 복사본을 만든 후 복원하는 대신에 해당 스냅샷에서 DB 클러스터를 직접 복원할 수 있습니다.

참고

자동 DB 클러스터 스냅샷을 공유하려면 자동 스냅샷을 복사하여 수동 DB 클러스터 스냅샷을 생성한 다음 해당 복사본을 공유합니다.

DB 클러스터 스냅샷에서 DB 클러스터를 복원하는 방법에 대한 자세한 내용은 스냅샷에서 복원하는 방법 단원을 참조하십시오.

최대 20개의 다른 AWS 계정과 수동 스냅샷을 공유할 수 있습니다. 암호화되지 않은 수동 스냅샷을 퍼블릭으로도 공유할 수 있습니다. 그러면 모든 AWS 계정에서 해당 스냅샷을 사용할 수 있습니다. 스냅샷을 퍼블릭으로 공유할 경우 비공개 정보가 퍼블릭 스냅샷에 포함되지 않도록 유의하십시오.

참고

AWS Command Line Interface(AWS CLI) 또는 Neptune API를 사용하여 공유 스냅샷에서 DB 클러스터를 복원할 때는 공유 스냅샷의 Amazon 리소스 이름(ARN)을 스냅샷 식별자로 지정해야 합니다.

AES-256 암호화 알고리즘을 사용하여 "유휴 상태"에서 암호화된 DB 클러스터 스냅샷을 공유할 수 있습니다. 자세한 내용은 Amazon Neptune 데이터베이스의 저장 데이터 암호화 섹션을 참조하세요. 이렇게 하려면 다음 단계를 따라야 합니다.

스냅샷을 암호화하는 데 사용한 AWS Key Management Service(AWS KMS) 암호화 키를 해당 스냅샷에 액세스할 수 있도록 하려는 계정과 공유합니다.

KMS 키 정책에 다른 계정을 추가하여 AWS KMS 암호화 키를 다른 AWS 계정과 공유할 수 있습니다. 키 정책 업데이트에 관한 세부 정보는 AWS KMS 개발자 안내서의 키 정책을 참조하세요. 키 정책 생성의 예는 이번 주제 후반부의 암호화된 스냅샷을 복사할 수 있도록 IAM 정책 만들기 단원을 참조하십시오.
AWS Management Console, AWS CLI 또는 Neptune API를 사용하여 암호화된 스냅샷을 다른 계정과 공유합니다.

이러한 제한은 암호화된 스냅샷 공유에 적용됩니다.

암호화된 스냅샷은 퍼블릭 스냅샷으로 공유할 수 없습니다.
스냅샷을 공유한 AWS 계정의 기본 AWS KMS 암호화 키를 사용하여 암호화된 스냅샷은 공유할 수 없습니다.

다른 AWS 계정이 사용자 계정에서 공유된 암호화된 DB 클러스터 스냅샷을 복사하려면 스냅샷을 공유하는 계정에 스냅샷을 암호화한 KMS 키에 대한 액세스 권한이 있어야 합니다. 다른 AWS 계정이 AWS KMS 키에 액세스할 수 있도록 허용하려면 KMS 키에 대한 키 정책을 KMS 키 정책의 Principal로 공유하는 AWS 계정의 ARN으로 업데이트합니다. 그런 다음 kms:CreateGrant 작업을 허용합니다. 자세한 내용은 AWS Key Management Service 개발자 안내서의 다른 계정의 사용자가 KMS 키를 사용하도록 허용을 참조하세요.

AWS 계정에 사용자의 KMS 암호화 키에 대한 액세스 권한을 부여한 후에는 암호화된 스냅샷을 복사하려면 해당 AWS 계정에서 IAM 사용자를 만들어야 합니다(아직 없는 경우). KMS 보안 제한에서는 이에 대한 루트 AWS 계정 자격 증명 사용을 허용하지 않습니다. 또한, AWS 계정에서는 IAM 사용자가 KMS 키를 사용하여 암호화된 DB 클러스터 스냅샷을 복사할 수 있는 IAM 정책을 IAM 사용자에 연결해야 합니다.

다음 키 정책 예에서는 사용자 111122223333이 KMS 암호화 키의 소유자이고 사용자 444455556666이 키를 공유하는 계정입니다. 이 업데이트된 키 정책은 사용자 444455556666의 AWS 계정 자격 증명에 대한 ARN을 정책의 Principal(으)로 포함하고 kms:CreateGrant 작업을 허용하여 AWS 계정이 KMS 키에 액세스할 수 있도록 합니다.


{
  "Id=": "key-policy-1",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid=": "Allow use of the key",
      "Effect": "Allow",
      "Principal": {"AWS": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Sid=": "Allow attachment of persistent resources",
      "Effect": "Allow",
      "Principal": {"AWS": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
    }
  ]
}

외부 AWS 계정에 사용자의 KMS 키에 대한 액세스 권한을 부여한 후에는 해당 계정의 소유자는 이 계정에 대해 생성된 IAM 사용자가 해당 KMS 키를 사용하여 암호화된 스냅샷을 복사할 수 있는 정책을 생성할 수 있습니다.

다음 예제는 AWS 계정 444455556666에 대한 IAM 사용자에 연결할 수 있는 정책을 보여줍니다. 이 정책을 통해 IAM 사용자는 us-west-2 리전에서 KMS 키 c989c1dd-a3f2-4a5d-8d96-e793d082ab26을 사용하여 암호화된 AWS 계정 111122223333에서 공유 스냅샷을 복사할 수 있습니다.


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid=": "AllowUseOfTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:RetireGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"]
        },
        {
            "Sid=": "AllowAttachmentOfPersistentResources",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
        }
    ]
}

키 정책 업데이트에 관한 세부 정보는 AWS Key Management Service 개발자 안내서의 키 정책을 참조하세요.

AWS Management Console, AWS CLI 또는 Neptune API를 사용하여 DB 클러스터 스냅샷을 공유할 수 있습니다.

Neptune 콘솔을 사용하여 최대 20개의 AWS 계정과 수동 DB 클러스터 스냅샷을 공유할 수 있습니다. 또한 수동 스냅샷을 하나 이상의 계정과 공유하는 것을 중지할 수 있습니다.

수동 DB 클러스터 스냅샷을 공유하려면

AWS 관리 콘솔에 로그인한 다음 https://console.aws.amazon.com/neptune/home에서 Amazon Neptune 콘솔을 엽니다.
탐색 창에서 스냅샷(Snapshots)를 선택합니다.
공유할 수동 스냅샷을 선택합니다.
작업, 스냅샷 공유를 선택합니다.
DB 스냅샷 공개 여부에 대해 다음 옵션 중 하나를 선택합니다.
- 소스가 암호화되지 않은 경우 모든 AWS 계정이 사용자의 수동 DB 클러스터 스냅샷에서 DB 클러스터를 복원할 수 있도록 하려면 퍼블릭을 선택합니다. 또는 지정한 AWS 계정만 수동 DB 클러스터 스냅샷에서 DB 클러스터를 복원할 수 있도록 하려면 프라이빗을 선택합니다.
  
  주의
  DB 스냅샷 가시성(DB snapshot visibility)을 퍼블릭(Public)으로 설정한 경우 모든 AWS 계정은 수동 DB 클러스터 스냅샷에서 DB 클러스터를 복원하고 사용자 데이터에 액세스할 수 있습니다. 프라이빗 정보가 포함된 수동 DB 클러스터 스냅샷을 퍼블릭으로 공유하지 마십시오.
- 원본 DB 클러스터가 암호화되어 있는 경우 암호화된 스냅샷을 퍼블릭으로 공유할 수 없으므로 DB snapshot visibility(DB 스냅샷 가시성)는 Private(프라이빗)으로 설정됩니다.
AWS 계정 ID에 수동 스냅샷에서 DB 클러스터 복원을 허용하려는 계정의 AWS 계정 식별자를 입력합니다. 그런 다음 추가를 선택합니다. 이 과정을 반복하여 최대 20개까지 AWS 계정의 AWS 계정 식별자를 추가합니다.

허용된 계정 목록에 AWS 계정 식별자를 추가하다가 실수하는 경우, 잘못된 AWS 계정 식별자의 오른쪽에 있는 [삭제(Delete)]를 선택하여 목록에서 해당 식별자를 삭제할 수 있습니다.
수동 스냅샷 복원을 허용하려는 모든 AWS 계정의 식별자를 추가한 후 저장을 선택합니다.

AWS 계정과 수동 DB 클러스터 스냅샷 공유를 중지하는 방법

https://console.aws.amazon.com/neptune/home에서 Amazon Neptune 콘솔을 엽니다.
탐색 창에서 스냅샷(Snapshots)를 선택합니다.
공유를 중지할 수동 스냅샷을 선택합니다.
작업을 선택한 다음 스냅샷 공유를 선택합니다.
AWS 계정의 권한을 제거하려면 권한 있는 계정 목록에서 해당 계정의 AWS 계정 식별자에 대해 [삭제(Delete)]를 선택합니다.
Save를 선택합니다.

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

스냅샷 복사

스냅샷 삭제

DB 클러스터 스냅샷 공유

참고

참고

주제

암호화된 DB 클러스터 스냅샷 공유

AWS KMS 암호화 키에 대한 액세스 허용

암호화된 스냅샷을 복사할 수 있도록 IAM 정책 만들기