使用 Amazon RAM 与 Amazon Aurora 进行跨账户克隆

授予克隆您的集群的权限

1. 登录Amazon Web Services Management Console并通过以下网址打开 Amazon RDS 控制台：https://console.aws.amazon.com/rds/。

2. 在导航窗格中，选择 Databases (数据库)。

3. 选择要共享的数据库集群以查看其 Details (详细信息) 页面，并选择 Connectivity & security (连接和安全性) 选项卡。

4. 在 与其他 Amazon 账户共享数据库集群 部分中，输入要允许克隆此集群的 Amazon 账户的数字账户 ID。对于同一组织中的账户 ID，您可以开始在框中键入，然后从菜单中选择。

   重要

   在某些情况下，您可能需要使用一个不在您的账户所在的 Amazon 组织中的账户来克隆集群。在这些情况下，出于安全原因，控制台不会报告谁拥有账户 ID 或该账户是否存在。

   请小心输入不在您的 Amazon 账户所在的 Amazon 组织中的账号。立即验证您是否与目标账户共享。

5. 在确认页面上，验证您指定的账户 ID 是否正确。在确认框中输入 share 以进行确认。

   在 Details (详细信息) 页面上，Accounts that this DB cluster is shared with (此数据库集群与之共享的账户) 下显示一个条目，该条目显示指定的Amazon账户 ID。Status (状态) 列最初显示 Pending (待处理) 状态。

6. 联系另一个 Amazon 账户的拥有者，或者如果您同时拥有这两个账户，则登录到该账户。指示其他账户的拥有者接受共享邀请并克隆数据库集群，如下所述。

授予克隆您的集群的权限

1. 收集所需参数的信息。您需要集群的 ARN 和其他 Amazon 账户的数字 ID。

2. 运行 Amazon RAM CLI 命令 create-resource-share。

   对于 Linux、macOS 或 Unix：

   aws ram create-resource-share --name descriptive_name \
     --region region \
     --resource-arns cluster_arn \
     --principals other_account_ids
   

   对于 Windows：

   aws ram create-resource-share --name descriptive_name ^
     --region region ^
     --resource-arns cluster_arn ^
     --principals other_account_ids
   

   要包含 --principals 参数的多个账户 ID，请用空格将各个 ID 分隔开。要指定允许的账户 ID 是否能位于 Amazon 组织外部，请包含 --allow-external-principals 的 --no-allow-external-principals 或 create-resource-share 参数。

授予克隆您的集群的权限

1. 收集所需参数的信息。您需要集群的 ARN 和其他 Amazon 账户的数字 ID。

2. 调用 Amazon RAM API 操作 CreateResourceShare，并指定以下值：

   • 指定一个或多个Amazon账户的账户 ID 作为 principals 参数。

   • 指定一个或多个 Aurora 数据库集群的 ARN 作为 resourceArns 参数。

   • 通过包含 allowExternalPrincipals 参数的布尔值来指定允许的账户 ID 是否能位于您的 Amazon 企业外部。

要查明您拥有的集群是否与其他Amazon账户共享

• 调用 Amazon RAM CLI 命令 list-principals，将账户 ID 用作资源拥有者，并将集群 ARN 用作资源 ARN。可使用以下命令来查看所有共享。结果指示允许哪些 Amazon 账户克隆集群。

  aws ram list-principals \
      --resource-arns your_cluster_arn \
      --principals your_aws_id
  

要查明您拥有的集群是否与其他Amazon账户共享

• 调用 Amazon RAM API 操作 ListPrincipals。将账户 ID 用作资源拥有者，并将集群 ARN 用作资源 ARN。

查看克隆其他Amazon账户拥有的集群的邀请

1. 运行 Amazon RAM CLI 命令 get-resource-share-invitations。

   aws ram get-resource-share-invitations --region region_name
   

   上述命令的结果显示所有克隆集群的邀请，包括您已接受或拒绝的任何邀请。

2. （可选）筛选列表，以便仅查看需要您执行操作的邀请。为此，请添加参数 --query 'resourceShareInvitations[?status==`PENDING`]'。

查看克隆其他Amazon账户拥有的集群的邀请

1. 调用 Amazon RAM API 操作 GetResourceShareInvitations。此操作返回所有此类邀请，包括您已接受或拒绝的任何邀请。

2. （可选）通过在 resourceShareAssociations 返回字段中检查 status 值 PENDING，仅查找需要您执行操作的邀请。

接受共享其他Amazon账户的集群的邀请

1. 通过运行 Amazon RAM CLI 命令 get-resource-share-invitations 查找邀请 ARN，如上所示。

2. 通过调用 Amazon RAM CLI 命令 accept-resource-share-invitation 接受邀请，如下所示。

   对于 Linux、macOS 或 Unix：

   aws ram accept-resource-share-invitation \
     --resource-share-invitation-arn invitation_arn \
     --region region
   

   对于 Windows：

   aws ram accept-resource-share-invitation ^
     --resource-share-invitation-arn invitation_arn ^
     --region region
   

接受共享他人集群的邀请

1. 通过调用 Amazon RAM API 操作 GetResourceShareInvitations 查找邀请 ARN，如上所示。

2. 将 ARN 作为 resourceShareInvitationArn 参数传递到 RDS API 操作 AcceptResourceShareInvitation。

克隆另一个Amazon账户拥有的 Aurora 集群

1. 登录Amazon Web Services Management Console并通过以下网址打开 Amazon RDS 控制台：https://console.aws.amazon.com/rds/。

2. 在导航窗格中，选择 Databases (数据库)。

   在数据库列表的顶部，您应看到一个或多个 Role (角色) 值为 Shared from account #account_id 的项。出于安全原因，您只能看到有关原始集群的有限信息。您可以看到的属性是数据库引擎和版本等属性，这些属性在克隆的集群中必须相同。

3. 选择您打算克隆的集群。

4. 对于 Actions (操作)，选择 Create clone (创建克隆)。

5. 按照控制台中的过程进行操作以完成对克隆集群的设置。

6. 根据需要，为克隆的集群启用加密。如果要克隆的集群已加密，则必须为克隆的集群启用加密。与您共享集群的 Amazon 账户还必须共享用于加密集群的 KMS 密钥。您可以使用相同的 KMS 密钥来加密克隆，也可以使用您自己的 KMS 密钥。无法为使用原定设置 KMS 密钥加密的集群创建跨账户克隆。

   拥有加密密钥的账户必须通过使用密钥策略来向目标账户授予密钥的使用权限。此过程类似于共享加密快照的方式，使用密钥策略来向目标账户授予密钥的使用权限。

克隆另一个Amazon账户拥有的 Aurora 集群

1. 接受来自拥有数据库集群的 Amazon 账户的邀请，如上所示。

2. 通过在 RDS CLI 命令 source-db-cluster-identifier 的 restore-db-cluster-to-point-in-time 参数中指定源集群的完整 ARN 来克隆集群，如下所示。

   如果未共享作为 source-db-cluster-identifier 传递的 ARN，则返回相同的错误，就像指定的集群不存在一样。

   对于 Linux、macOS 或 Unix：

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time
   

   对于 Windows：

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time
   

3. 如果要克隆的集群已加密，请通过包含 kms-key-id 参数来加密克隆的集群。此 kms-key-id 值可以是用于加密原始数据库集群的值，也可以是您自己的 KMS 密钥。您的账户必须具有使用该加密密钥的权限。

   对于 Linux、macOS 或 Unix：

   aws rds restore-db-cluster-to-point-in-time \
     --source-db-cluster-identifier=arn:aws:rds:arn_details \
     --db-cluster-identifier=new_cluster_id \
     --restore-type=copy-on-write \
     --use-latest-restorable-time \
     --kms-key-id=arn:aws:kms:arn_details
   

   对于 Windows：

   aws rds restore-db-cluster-to-point-in-time ^
     --source-db-cluster-identifier=arn:aws:rds:arn_details ^
     --db-cluster-identifier=new_cluster_id ^
     --restore-type=copy-on-write ^
     --use-latest-restorable-time ^
     --kms-key-id=arn:aws:kms:arn_details
   

   拥有加密密钥的账户必须通过使用密钥策略来向目标账户授予密钥的使用权限。此过程类似于共享加密快照的方式，使用密钥策略来向目标账户授予密钥的使用权限。下面是密钥策略的示例。

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

克隆另一个Amazon账户拥有的 Aurora 集群

1. 接受来自拥有数据库集群的 Amazon 账户的邀请，如上所示。

2. 通过在 RDS API 操作 SourceDBClusterIdentifier 的 RestoreDBClusterToPointInTime 参数中指定源集群的完整 ARN 来克隆集群。

   如果未共享作为 SourceDBClusterIdentifier 传递的 ARN，则返回相同的错误，就像指定的集群不存在一样。

3. 如果要克隆的集群已加密，请包含 KmsKeyId 参数以加密克隆的集群。此 kms-key-id 值可以是用于加密原始数据库集群的值，也可以是您自己的 KMS 密钥。您的账户必须具有使用该加密密钥的权限。

   在克隆卷时，目标账户必须具有使用用于加密源集群的加密密钥的权限。Aurora 使用 KmsKeyId 中指定的加密密钥对新的克隆集群进行加密。

   拥有加密密钥的账户必须通过使用密钥策略来向目标账户授予密钥的使用权限。此过程类似于共享加密快照的方式，使用密钥策略来向目标账户授予密钥的使用权限。下面是密钥策略的示例。

   {
     "Id": "key-policy-1",
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Allow use of the key",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": "*"
       },
       {
         "Sid": "Allow attachment of persistent resources",
         "Effect": "Allow",
         "Principal": {"AWS": [
           "arn:aws:iam::account_id:user/KeyUser",
           "arn:aws:iam::account_id:root"
         ]},
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": "*",
         "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
       }
     ]
   }
   

检查数据库集群是否为跨账户克隆

• 调用 RDS CLI 命令 describe-db-clusters。

  以下示例说明实际或潜在的跨账户克隆数据库集群在 describe-db-clusters 输出中的显示方式。对于您的 Amazon 账户现在拥有的集群，CrossAccountClone 字段指示集群是否为另一个 Amazon 账户拥有的数据库集群的克隆。

  在某些情况下，条目具有的 Amazon 账号可能与您在 Amazon 字段中的 DBClusterArn 账号不同。在此情况下，该条目表示由其他 Amazon 账户拥有且可克隆的集群。此类条目仅具有 DBClusterArn 字段。在创建克隆的集群时，指定与原始集群中相同的 StorageEncrypted、Engine 和 EngineVersion 值。

  $aws rds describe-db-clusters --include-shared --region us-east-1
  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0
    ]
  }
  

检查数据库集群是否为跨账户克隆

• 调用 RDS API 操作 DescribeDBClusters。

  对于您的 Amazon 账户现在拥有的集群，CrossAccountClone 字段指示集群是否为另一个 Amazon 账户拥有的数据库集群的克隆。在 Amazon 字段中具有其他 DBClusterArn 账号的条目表示其他 Amazon 账户拥有且可克隆的集群。这些条目仅具有 DBClusterArn 字段。在创建克隆的集群时，指定与原始集群中相同的 StorageEncrypted、Engine 和 EngineVersion 值。

  以下示例显示一个返回值，该值说明了实际和潜在的克隆的集群。

  {
    "DBClusters": [
        {
            "EarliestRestorableTime": "2023-02-01T21:17:54.106Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": false,
  ...
        },
        {
            "EarliestRestorableTime": "2023-02-09T16:01:07.398Z",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0",
            "CrossAccountClone": true,
  ...
        },
        {
            "StorageEncrypted": false,
            "DBClusterArn": "arn:aws:rds:us-east-1:12345678:cluster:cluster-abcdefgh",
            "Engine": "aurora-mysql",
            "EngineVersion": "8.0.mysql_aurora.3.02.0"
        }
    ]
  }