弊社では会社全体で１つのアカウントを共有していましたが「管理が面倒！どの部署がどれを使っているのかさっぱり分からん！」という苦情が増えてきたため、部署ごとにアカウントを分ける事になり Aurora 移行の作業を振られたため手順をまとめました。
AWS マニュアルを確認
マニュアル見てると手動スナップショットを共有するだけっぽいので簡単だな！と思っていましたが当然そんなに上手く行かず…デフォルトKMSキーで暗号化されていたため、別アカウントへの共有が不可になっていました。あと KMS キーも別途発行して別アカウントに共有しておく必要があるっぽい。
デフォルトの Amazon RDS 暗号化キーを使用しない、暗号化された手動スナップショットは共有できます。ただし、まず AWS Key Management Service (AWS KMS) キーを、スナップショットを共有するアカウントと共有する必要があります。
デフォルトKMSキーで暗号化されているため、スナップショットのアクセス許可設定を保存できない
現在サポートされていない、という文言から将来はサポートしてくれるんでしょうか
移行元アカウントでの作業
ここから作業手順
KMS キーの作成と共有
デフォルトでない KMS キーが必要なので作成していく
キーを設定
キーのタイプ
対象
キーの使用
暗号化及び復号化
詳細オプション
- キーマテリアルエンジン : KMS 推奨
- リージョンごと : 単一リージョンキー
次へ
ラベルを追加
エイリアス
わかりやすい名前を追加（aurora-snapshot-share-key、みたいな）
説明
必要であれば追加
タグ
必要であれば追加
次へ
キーの管理アクセス許可を定義
キー管理者
必要であれば追加
キーの削除
「キーの管理者がこのキーを削除できるようにします。」にチェック
次へ
キーの使用アクセス許可を定義
キーユーザー
必要であれば追加
別の AWS アカウント
arn:aws:iam::【移行先のAWSアカウント番号】:root
次へ
確認
問題なければ「完了」
Aurora スナップショットを取得
- RDSメニューから、移行元のDBクラスターを選択
- 「アクション」の「スナップショットの取得」
現行だとデフォルトKMSキーで暗号化されているため共有できない。
そのため、先程作成したKMSキーを使って暗号化されたスナップショットをコピーする
スナップショットをコピー
- スナップショットメニューから、取得したスナップショットを選択し「アクション」の「スナップショットのコピー」を選択
スナップショットをコピー
送信先リージョン
必要であれば変更
新しいスナップショットID
コピー元スナップショットIDを適当にちょっと変える
タグをコピー
「タグをコピー」にチェック
暗号化
AWS KMS キー
デフォルト KMS キーではなく、先程新しく作成した KMS キーを選択する
※コピーめっちゃ時間掛かるので適当に時間潰す。29GiB で3時間かかりました。
スナップショットのアクセス許可
- スナップショットメニューから、コピーしたスナップショットを選択し「アクション」の「スナップショットの共有」を選択
設定
AWS アカウントID
移行先の AWS アカウント ID を入力
次へ
移行先アカウントでの作業
スナップショットメニューから、「自分と共有」タブをクリックし、共有したスナップショットが表示されていればOK
この共有スナップショットから、新しい DB クラスターを作成するなりなんなりして完了。
参考サイト