共享 Amazon DocumentDB 集群快照 - Amazon DocumentDB
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

共享 Amazon DocumentDB 集群快照

在 Amazon DocumentDB 中,您可以共享手动集群快照,这些快照可以通过授权的Amazon Web Services 账户. 您可以共享加密或未加密的手动快照。共享未加密快照时,已授权Amazon Web Services 账户可以直接从快照还原集群,而不用创建快照的副本并通过它来还原。但是,您无法从共享并且加密的快照还原集群。您可以改为创建集群的副本并通过该副本来还原集群。有关复制快照的更多信息,请参阅复制 Amazon DocumentDB 集群快照

注意

您无法共享 Amazon DocumentDB 自动集群快照。解决方法是通过复制自动快照来创建手动快照,然后共享该副本。有关复制快照的更多信息,请参阅复制 Amazon DocumentDB 集群快照。有关从快照还原集群的更多信息,请参阅从集群快照还原

您可以与最多 20 个其他Amazon Web Services 账户. 您也可以将未加密的手动快照作为公有快照进行共享,这样所有 账户均可使用此快照。当以公有快照形式共享快照时,确保不要将您的私有信息包含在任何公有快照之中。

当与其他Amazon Web Services 账户,并且您可以使用从共享快照还原集群Amazon CLI或 Amazon DocumentDB API,您必须指定共享快照的 Amazon 资源名称 (ARN) 作为快照标识符。

共享加密的快照

以下限制适用于共享加密快照:

  • 您无法公开共享加密的快照。

  • 如果某个快照已使用共享该快照的账户的默认 Amazon KMS 加密密钥进行加密,则您无法共享该快照。

按照以下步骤共享加密的快照。

  1. 与您希望允许其访问快照的任何账户共享用于加密快照的 Amazon Key Management Service (Amazon KMS) 加密密钥。

    您可以共享Amazon KMS加密密钥与另一个Amazon帐户,方法是将其他帐户添加到Amazon KMS密钥策略。有关更新密钥策略的详细信息,请参阅使用以下密钥策略AmazonKMS中的Amazon Key Management Service开发人员指南. 有关创建密钥策略的示例,请参阅本主题下文中的 创建 IAM 策略来启用加密快照的复制功能

  2. 使用 Amazon CLI(如下所示)与其他账户共享加密的快照。

允许访问 Amazon KMS 加密密钥

对于另一个Amazon Web Services 账户复制通过您的账户共享的加密快照,您与之共享快照的帐户必须有权访问Amazon KMS密钥对快照进行加密。要允许另一账户访问 Amazon KMS 密钥,请使用您要与之共享的账户的 ARN 将 Amazon KMS 密钥的密钥策略更新为 Amazon KMS 密钥策略中的委托人。然后允许 kms:CreateGrant 操作。

在您授予帐户访问您的Amazon KMS加密密钥,要复制加密的快照,则该帐户必须创建Amazon Identity and Access Management(IAM) 用户(如果它还没有一个。此外,该账户还必须将 IAM 策略附加到该 IAM 用户,以允许此用户使用Amazon KMS键。此账户必须是 IAM 用户,不能是根用户Amazon Web Services 账户身份由于Amazon KMS安全限制。

在以下密钥策略示例中,用户 123451234512 是 Amazon KMS 加密密钥的所有者。用户 123456789012 是要与之共享密钥的账户。此更新的密钥策略向该账户提供了对 Amazon KMS 密钥的访问权限。它通过包含根的 ARN 来完成此操作Amazon Web Services 账户身份(用户 123456789012)作为策略的委托人,并允许kms:CreateGrantaction.

{ "Id": "key-policy-1", "Version": "2012-10-17", "Statement": [ { "Sid": "Allow use of the key", "Effect": "Allow", "Principal": {"AWS": [ "arn:aws:iam::123451234512:user/KeyUser", "arn:aws:iam::123456789012:root" ]}, "Action": [ "kms:CreateGrant", "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": "*"}, { "Sid": "Allow attachment of persistent resources", "Effect": "Allow", "Principal": {"AWS": [ "arn:aws:iam::123451234512:user/KeyUser", "arn:aws:iam::123456789012:root" ]}, "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": "*", "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}} } ] }

创建 IAM 策略来启用加密快照的复制功能

当外部Amazon Web Services 账户有权访问您的Amazon KMS密钥,该账户的所有者可创建一个策略来允许为账户创建的 IAM 用户复制使用Amazon KMS键。

以下示例显示了一个可以附加到Amazon Web Services 账户123456789012. 此策略使 IAM 用户能够从账户 123451234512 复制已使用Amazon KMS密钥c989c1dd-a3f2-4a5d-8d96-e793d082ab26在美国西部 2 区域。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowUseOfTheKey", "Effect": "Allow", "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey", "kms:CreateGrant", "kms:RetireGrant" ], "Resource": ["arn:aws:kms:us-west-2:123451234512:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"] }, { "Sid": "AllowAttachmentOfPersistentResources", "Effect": "Allow", "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": ["arn:aws:kms:us-west-2:123451234512:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"], "Condition": { "Bool": { "kms:GrantIsForAWSResource": true } } } ] }

有关更新密钥策略的详细信息,请参阅使用以下密钥策略Amazon KMS中的Amazon Key Management Service开发人员指南.

共享快照

要共享快照,请使用 Amazon DocumentDBmodify-db-snapshot-attributeoperation. 使用--values-to-add参数添加的 ID 列表Amazon Web Services 账户已授权还原手动快照。

以下示例允许两个Amazon Web Services 账户标识符,以及还原名为的快照manual-snapshot1. 它还会删除 all 属性值以将该快照标记为私有。

对于 Linux、macOS 或 Unix:

aws docdb modify-db-cluster-snapshot-attribute \ --db-cluster-snapshot-identifier sample-cluster-snapshot \ --attribute-name restore \ --values-to-add '["123451234512","123456789012"]'

对于 Windows:

aws docdb modify-db-cluster-snapshot-attribute ^ --db-cluster-snapshot-identifier sample-cluster-snapshot ^ --attribute-name restore ^ --values-to-add '["123451234512","123456789012"]'

此操作的输出将类似于下文。

{ "DBClusterSnapshotAttributesResult": { "DBClusterSnapshotIdentifier": "sample-cluster-snapshot", "DBClusterSnapshotAttributes": [ { "AttributeName": "restore", "AttributeValues": [ "123451234512", "123456789012" ] } ] } }

要删除Amazon Web Services 账户标识符,请使用--values-to-remove参数。以下示例防止Amazon Web Services 账户正在还原快照的情况下,ID 为 123456789012。

对于 Linux、macOS 或 Unix:

aws docdb modify-db-cluster-snapshot-attribute \ --db-cluster-snapshot-identifier sample-cluster-snapshot \ --attribute-name restore \ --values-to-remove '["123456789012"]'

对于 Windows:

aws docdb modify-db-cluster-snapshot-attribute ^ --db-cluster-snapshot-identifier sample-cluster-snapshot ^ --attribute-name restore ^ --values-to-remove '["123456789012"]'

此操作的输出将类似于下文。

{ "DBClusterSnapshotAttributesResult": { "DBClusterSnapshotIdentifier": "sample-cluster-snapshot", "DBClusterSnapshotAttributes": [ { "AttributeName": "restore", "AttributeValues": [ "123451234512" ] } ] } }