共享数据库快照

使用 Amazon RDS，您可以按以下方式共享手动数据库快照：

有关复制快照的更多信息，请参阅复制数据库快照。有关从数据库快照还原数据库实例的更多信息，请参阅从数据库 快照还原。

您可以与最多 20 个其他 Amazon 账户共享手动快照。

与其他 Amazon 账户共享手动快照时存在以下限制：

共享公有快照

您也可以将未加密的手动快照作为公有快照进行共享，这样所有 Amazon 账户均可使用此快照。当以公有快照形式共享快照时，确保不要将您的私有信息包含在公有快照之中。

公开共享快照时，它会授予所有 Amazon 账户复制快照并从中创建数据库实例的权限。

您不需要为其他账户拥有的公有快照的备份存储付费。您只需为您拥有的快照付费。

如果您复制公有快照，则您拥有该副本。您需要为快照副本的备份存储付费。如果您从公有快照创建数据库实例，则需要为该数据库实例付费。有关 Amazon RDS 定价信息，请参阅 Amazon RDS 产品页。

您只能删除您拥有的公有快照。要删除共享或公有快照，务必登录到拥有快照的 Amazon 账户。

查看其他 Amazon 账户拥有的公有快照

您可以在 Amazon RDS 控制台的 Snapshots (快照) 页面的 Public (公有) 选项卡上查看特定Amazon区域中其他账户拥有的公有快照。您的快照（由您账户拥有的快照）不会显示在此选项卡上。

查看您拥有的公有快照

您可以使用以下 Amazon CLI 命令（仅限 Unix）查看特定 Amazon 区域中 Amazon 账户的公有快照。

aws rds describe-db-snapshots --snapshot-type public --include-public | grep account_number

如果您有公共快照，则返回的输出与以下示例类似。

"DBSnapshotArn": "arn:aws:rds:us-east-1:123456789012:snapshot:mysnapshot1",
"DBSnapshotArn": "arn:aws:rds:us-east-1:123456789012:snapshot:mysnapshot2",

共享加密的快照

您可共享使用 AES-256 加密算法“静态”加密的数据库快照，如加密 Amazon RDS 资源中所述。为此，请执行以下步骤：

这些限制适用于共享加密快照：

允许访问 Amazon KMS key

为了另一 Amazon 账户复制通过您的账户共享的加密数据库快照，您与之共享快照的账户必须有权访问加密该快照的 Amazon KMS key。

允许另一个 Amazon 账户访问 KMS 密钥的密钥策略。您使用 KMS 密钥策略中作为 Principal 共享的 Amazon 账户的 Amazon Resource Name (ARN) 更新它。然后，您允许 kms:CreateGrant 操作。

在向 Amazon 账户提供对 KMS 密钥的访问权限后，要复制加密的快照，Amazon 账户必须创建 Amazon Identity and Access Management（IAM）角色或用户（如果该账户没有此角色或用户）。此外，该 Amazon 账户还必须将 IAM policy 附加到该 IAM 权限集或角色，以允许此权限集或角色使用您的 KMS 密钥复制加密的数据库快照。由于 Amazon KMS 安全限制，此账户必须是 IAM 用户，不能是 Amazon 根账户身份。

在下面的密钥策略示例中，用户 111122223333 是 KMS 密钥的所有者，而用户 444455556666 是要与之共享密钥的账户。通过包含用户 444455556666 的根 Amazon 账户身份的 ARN 作为策略的 Principal，以及通过允许 kms:CreateGrant 操作，此更新的密钥策略为 Amazon 账户提供了访问 KMS 密钥的权限。

{
  "Id": "key-policy-1",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow use of the key",
      "Effect": "Allow",
      "Principal": {"Amazon": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Sid": "Allow attachment of persistent resources",
      "Effect": "Allow",
      "Principal": {"Amazon": [
        "arn:aws:iam::111122223333:user/KeyUser",
        "arn:aws:iam::444455556666:root"
      ]},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
    }
  ]
}				
			

创建 IAM 策略以启用加密快照的复制

一旦外部 Amazon 账户有权访问您的 KMS 密钥，Amazon 账户的所有者可创建一个策略来允许为该账户创建的 IAM 用户能够复制使用 KMS 密钥加密的快照。

下面的示例显示了一个可附加到 Amazon 账户 444455556666 的 IAM 用户的策略，该策略使 IAM 用户能够复制 Amazon 账户 111122223333 中已使用 us-west-2 区域中的 KMS 密钥 c989c1dd-a3f2-4a5d-8d96-e793d082ab26 加密的共享快照。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowUseOfTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:RetireGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"]
        },
        {
            "Sid": "AllowAttachmentOfPersistentResources",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": ["arn:aws:kms:us-west-2:111122223333:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
        }
    ]
}
			

有关更新密钥策略的详细信息，请参阅 Amazon KMS 开发人员指南中的密钥策略。

共享快照

您可以使用 Amazon Web Services Management Console、Amazon CLI 或 RDS API 共享数据库快照。

aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier db7-snapshot \
--attribute-name restore \
--values-to-add 123456789012

aws rds modify-db-snapshot-attribute ^
--db-snapshot-identifier db7-snapshot ^
--attribute-name restore ^
--values-to-add 123456789012

aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier manual-snapshot1 \
--attribute-name restore \
--values-to-add {"111122223333","444455556666"}

aws rds modify-db-snapshot-attribute ^
--db-snapshot-identifier manual-snapshot1 ^
--attribute-name restore ^
--values-to-add "[\"111122223333\",\"444455556666\"]"

aws rds modify-db-snapshot-attribute \
--db-snapshot-identifier manual-snapshot1 \
--attribute-name restore \
--values-to-remove 444455556666

aws rds modify-db-snapshot-attribute ^
--db-snapshot-identifier manual-snapshot1 ^
--attribute-name restore ^
--values-to-remove 444455556666