将数据库集群数据导出到 Amazon S3

1. 标识要导出其数据的数据库集群。

2. 设置对 Amazon S3 存储桶的访问权限。

   存储桶是 Amazon S3 对象或文件的容器。要提供访问存储桶的信息，请执行以下步骤：

   1. 标识要将数据库集群数据导出到的 S3 桶。S3 桶和数据库集群必须位于同一 Amazon 区域中。有关更多信息，请参阅 标识要导出到的 Amazon S3 存储桶。

   2. 创建一个 Amazon Identity and Access Management（IAM）角色，用于授予数据库集群导出任务对 S3 桶的访问权限。有关更多信息，请参阅 使用 IAM 角色提供对 Amazon S3 存储桶的访问权限。

3. 创建对称加密 Amazon KMS key 以进行服务器端加密。集群导出任务使用 KMS 密钥在将导出数据写入 S3 时设置 Amazon KMS 服务器端加密。

   KMS 密钥策略必须同时包含 kms:CreateGrant 和 kms:DescribeKey 权限。有关在 Amazon Aurora 中使用 KMS 密钥的更多信息，请参阅 Amazon KMS key 管理。

   如果 KMS 密钥策略中有拒绝语句，则确保显式排除 Amazon 服务主体 export.rds.amazonaws.com。

   您可以在您的 Amazon 账户内使用 KMS 密钥，或者您可以使用跨账户 KMS 密钥。有关更多信息，请参阅 使用跨账户 Amazon KMS key。

4. 使用控制台或 start-export-task CLI 命令将数据库集群导出到 Amazon S3。有关更多信息，请参阅 将数据库集群数据导出到 Amazon S3 桶。

5. 要访问 Amazon S3 存储桶中导出的数据，请参阅 Amazon Simple Storage Service 用户指南中的上传、下载和管理对象。

授予任务访问 Amazon S3 的权限

1. 创建一个 IAM policy。此策略提供允许数据库集群导出任务访问 Amazon S3 的桶和对象权限。

   在策略中，包含以下必需操作，以允许将文件从 Amazon Aurora 桶传输到 S3 桶：

   • s3:PutObject*

   • s3:GetObject*

   • s3:ListBucket

   • s3:DeleteObject*

   • s3:GetBucketLocation

   在策略中，包含以下资源以标识 S3 桶以及该桶中的对象。以下资源列表显示用于访问 Amazon S3 的 Amazon Resource Name (ARN) 格式。

   • arn:aws:s3:::your-s3-bucket

   • arn:aws:s3:::your-s3-bucket/*

   有关为 Amazon Aurora 创建 IAM policy 的更多信息，请参阅 创建和使用适用于 IAM 数据库访问的 IAM 策略。另请参阅 IAM 用户指南中的教程：创建和附加您的第一个客户托管式策略。

   以下 Amazon CLI 命令使用这些选项创建一个名为 ExportPolicy 的 IAM 策略。它授予访问名为 your-s3-bucket 的存储桶的权限。

   注意

   创建策略后，请记下策略的 ARN。在将策略附加到 IAM 角色时，您在后面的步骤中需要使用 ARN。

   aws iam create-policy  --policy-name ExportPolicy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ExportPolicy",
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject*",
                   "s3:ListBucket",
                   "s3:GetObject*",
                   "s3:DeleteObject*",
                   "s3:GetBucketLocation"
               ],
               "Resource": [
                   "arn:aws:s3:::your-s3-bucket",
                   "arn:aws:s3:::your-s3-bucket/*"
               ]
           }
       ]
   }'

2. 创建一个 IAM 角色，以便 Aurora 可以代入该 IAM 角色，代表您访问 Amazon S3 桶。有关更多信息，请参阅 IAM 用户指南中的创建向 IAM 用户委派权限的角色。

   以下示例说明了如何使用 Amazon CLI 命令创建一个名为 rds-s3-export-role 的角色。

   aws iam create-role  --role-name rds-s3-export-role  --assume-role-policy-document '{
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
               "Service": "export.rds.amazonaws.com"
             },
            "Action": "sts:AssumeRole"
          }
        ] 
      }'

3. 将您创建的 IAM 策略附加到您创建的 IAM 角色。

   以下 Amazon CLI 命令将之前创建的策略附加到名为 rds-s3-export-role 的角色。将 your-policy-arn 替换为您在先前步骤中记下的策略 ARN。

   aws iam attach-role-policy  --policy-arn your-policy-arn  --role-name rds-s3-export-role