本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
Amazon DocumentDB 集群快照共享
在 Amazon DocumentDB 中,您可以共享手动集群快照,这些快照可以由授权的 Amazon Web Services 账户复制。您可以共享加密或未加密的手动快照。共享未加密的快照时,授权的 Amazon Web Services 账户可以直接从快照还原集群,而不用创建快照的副本并通过它来还原。但是,您无法从共享并且加密的快照还原集群。您可以改为创建集群的副本并通过该副本来还原集群。有关复制快照的更多信息,请参阅复制 Amazon DocumentDB 集群快照。
注意
您无法共享 Amazon DocumentDB 自动集群快照。解决方法是通过复制自动快照来创建手动快照,然后共享该副本。有关复制快照的更多信息,请参阅复制 Amazon DocumentDB 集群快照。有关从快照还原集群的更多信息,请参阅从集群快照还原。
您可以与最多 20 个其他 Amazon Web Services 账户共享手动快照。您也可以将未加密的手动快照作为公有快照进行共享,这样所有 账户均可使用此快照。当以公有快照形式共享快照时,确保不要将您的私有信息包含在任何公有快照之中。
与其他 Amazon Web Services 账户共享手动快照,并且使用 Amazon CLI 或 Amazon DocumentDB API 从共享的快照还原集群时,您必须指定共享快照的 Amazon 资源名称(ARN)作为快照标识符。
共享加密的快照
以下限制适用于共享加密快照:
-
您无法公开共享加密的快照。
-
如果某个快照已使用共享该快照的账户的默认 Amazon KMS 加密密钥进行加密,则您无法共享该快照。
按照以下步骤共享加密的快照。
-
与您希望允许其访问快照的任何账户共享用于加密快照的 Amazon Key Management Service (Amazon KMS) 加密密钥。
可以通过将其他 Amazon 账户添加到 Amazon KMS 密钥政策来与其共享 Amazon KMS 加密密钥。有关更新密钥政策的详细信息,请参阅 Amazon Key Management Service 开发人员指南中的在 Amazon KMS 中使用密钥政策。有关创建密钥策略的示例,请参阅本主题下文中的 创建 IAM 策略以启用加密快照的复制。
-
使用 Amazon CLI(如下所示)与其他账户共享加密的快照。
允许访问 Amazon KMS 加密密钥
为了另一 Amazon Web Services 账户复制通过您的账户共享的加密快照,您与之共享快照的账户必须有权访问加密该快照的 Amazon KMS 密钥。要允许另一账户访问 Amazon KMS 密钥,请使用您要与之共享的账户的 ARN 将 Amazon KMS 密钥的密钥策略更新为 Amazon KMS 密钥策略中的委托人。然后允许 kms:CreateGrant
操作。
在您向某个账户提供对 Amazon KMS 加密密钥的访问权限后,要复制您加密的快照,该账户必须创建 Amazon Identity and Access Management (IAM) 用户(如果还没有此用户的话)。此外,该账户还必须将 IAM policy 附加到 IAM 用户,以允许此用户使用您的 Amazon KMS 密钥复制加密的快照。由于 Amazon KMS 安全限制,此账户必须是 IAM 用户,不能是根 Amazon Web Services 账户身份。
在以下密钥策略示例中,用户 123451234512 是 Amazon KMS 加密密钥的所有者。用户 123456789012 是要与之共享密钥的账户。此更新的密钥策略向该账户提供了对 Amazon KMS 密钥的访问权限。它的做法是,将用户 123456789012 的根 Amazon Web Services 账户身份的 ARN 包含为策略的主体,然后允许 kms:CreateGrant
操作。
{ "Id": "key-policy-1", "Version": "2012-10-17", "Statement": [ { "Sid": "Allow use of the key", "Effect": "Allow", "Principal": {"AWS": [ "arn:aws:iam::123451234512:user/KeyUser", "arn:aws:iam::123456789012:root" ]}, "Action": [ "kms:CreateGrant", "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": "*"}, { "Sid": "Allow attachment of persistent resources", "Effect": "Allow", "Principal": {"AWS": [ "arn:aws:iam::123451234512:user/KeyUser", "arn:aws:iam::123456789012:root" ]}, "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": "*", "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}} } ] }
创建 IAM 策略以启用加密快照的复制
当外部 Amazon Web Services 账户有权访问您的 Amazon KMS 密钥时,该账户的所有者可创建一个策略,以允许为该账户创建的 IAM 用户复制使用该 Amazon KMS 密钥加密的加密快照。
以下示例显示了一个可附加到 Amazon Web Services 账户 123456789012 的 IAM 用户的策略。该策略使 IAM 用户能够从账户 123451234512 复制已使用 us-west-2 区域中的 Amazon KMS 密钥 c989c1dd-a3f2-4a5d-8d96-e793d082ab26
加密的共享快照。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowUseOfTheKey", "Effect": "Allow", "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey", "kms:CreateGrant", "kms:RetireGrant" ], "Resource": ["arn:aws:kms:us-west-2:123451234512:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"] }, { "Sid": "AllowAttachmentOfPersistentResources", "Effect": "Allow", "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": ["arn:aws:kms:us-west-2:123451234512:key/c989c1dd-a3f2-4a5d-8d96-e793d082ab26"], "Condition": { "Bool": { "kms:GrantIsForAWSResource": true } } } ] }
有关更新密钥政策的详细信息,请参阅 Amazon Key Management Service 开发人员指南中的在 Amazon KMS 中使用密钥政策。
共享快照
要共享快照,请使用 Amazon DocumentDB modify-db-snapshot-attribute
操作。使用 --values-to-add
参数添加有权还原手动快照的 Amazon Web Services 账户的 ID 列表。
以下示例将允许两个 Amazon Web Services 账户标识符(123451234512 和 123456789012)还原名为 manual-snapshot1
的快照。它还会删除 all
属性值以将该快照标记为私有。
对于 Linux、macOS 或 Unix:
aws docdb modify-db-cluster-snapshot-attribute \ --db-cluster-snapshot-identifier sample-cluster-snapshot \ --attribute-name restore \ --values-to-add '["123451234512","123456789012"]'
对于 Windows:
aws docdb modify-db-cluster-snapshot-attribute ^ --db-cluster-snapshot-identifier sample-cluster-snapshot ^ --attribute-name restore ^ --values-to-add '["123451234512","123456789012"]'
此操作的输出将类似于下文。
{
"DBClusterSnapshotAttributesResult": {
"DBClusterSnapshotIdentifier": "sample-cluster-snapshot",
"DBClusterSnapshotAttributes": [
{
"AttributeName": "restore",
"AttributeValues": [
"123451234512",
"123456789012"
]
}
]
}
}
要从列表中删除 Amazon Web Services 账户标识符,请使用 --values-to-remove
参数。以下示例禁止 Amazon Web Services 账户 ID 123456789012 还原快照。
对于 Linux、macOS 或 Unix:
aws docdb modify-db-cluster-snapshot-attribute \ --db-cluster-snapshot-identifier sample-cluster-snapshot \ --attribute-name restore \ --values-to-remove '["123456789012"]'
对于 Windows:
aws docdb modify-db-cluster-snapshot-attribute ^ --db-cluster-snapshot-identifier sample-cluster-snapshot ^ --attribute-name restore ^ --values-to-remove '["123456789012"]'
此操作的输出将类似于下文。
{
"DBClusterSnapshotAttributesResult": {
"DBClusterSnapshotIdentifier": "sample-cluster-snapshot",
"DBClusterSnapshotAttributes": [
{
"AttributeName": "restore",
"AttributeValues": [
"123451234512"
]
}
]
}
}