Dans le cadre des meilleures pratiques de sécurité et de conformité, il est essentiel d’améliorer la protection des données en passant des clés de chiffrement gérées par AWS aux clés gérées par les clients (CMK).
Exigence commerciale
Pendant la migration ou la restauration de la base de données, il n’est pas possible de changer directement le cryptage des clés gérées par AWS aux clés gérées par le client (CMK).
Pendant la migration, l’instantané de la base de données doit être créé et réincarré avec CMK pour assurer une transition sécurisée et efficace tout en minimisant les temps d’arrêt. Ce document fournit une approche rationalisée pour gagner du temps et assurer la conformité aux meilleures pratiques.
Figue: Instantané RDS crypté avec une clé KMS gérée par AWS
Objectif
Ce document vise à fournir un processus structuré pour créer un instantané de base de données, à le crypter avec un nouveau CMK et à le restaurer tout en maintenant les configurations de base de données d’origine. Cela garantit une perturbation minimale des opérations tout en renforçant la sécurité des données.
- Processus de récupération
- Condition préalable
- Présentation de la configuration
- Meilleures pratiques
Condition préalable
Avant de procéder au processus d’instantané et de restauration, assurez-vous que les conditions préalables suivantes sont remplies:
- AWS Access: Vous devez avoir les autorisations IAM pour créer, copier et restaurer des instantanés RDS.
- Clé KMS AWS: Assurez-vous que vous disposez d’une clé gérée par le client (CMK) dans le service de gestion des clés AWS (KMS) pour le chiffrement.
- Disponibilité de la base de données: Vérifiez que la base de données existante est suffisamment saine pour prendre un instantané précis.
- Considérations de stockage: Assurez-vous qu’un stockage suffisant est disponible pour accueillir l’instantané et l’instance restaurée.
- Configurations de réseautage: Assurez-vous que les groupes de sécurité, les groupes de sous-réseau et les paramètres VPC sont en place.
- Stratégie de sauvegarde: Ayez un plan de sauvegarde en cas d’échec pendant le processus.
Présentation de la configuration
Étape 1: Prenez un instantané de la base de données existante
- Connectez-vous à la console AWS avec vos informations d’identification.
- Accédez à la RDS Section où vous gérez les instances de base de données.
- Sélectionnez la base de données existante pour laquelle vous souhaitez créer l’instantané.
- Cliquez sur le Créer un instantané bouton.
- Fournissez un nom et une description de l’instantané, si nécessaire.
- Faire un clic Créer un instantané Pour initier le processus de création d’instantané.
- Attendez que la création d’instantané se termine avant de passer à l’étape suivante.
Étape 2: Copiez un instantané avec de nouvelles clés de chiffrement
- Accédez à la section où vos instantanés sont stockés.
- Localisez l’instantané nouvellement créé dans la liste des instantanés disponibles.
- Sélectionnez l’instantané et cliquez sur le Copier un instantané option.
- Dans les paramètres de chiffrement, choisissez Nouvelle clé de chiffrement (Cela nécessitera de sélectionner un nouveau Clé gérée par le client (CMK)).
- Suivez les invites pour copier l’instantané avec la nouvelle clé de cryptage. Faire un clic Suivant continuer.
Étape 4: Accédez à l’instantané nouvellement créé, action pour restaurer
- Une fois le nouveau instantané créé avec succès, accédez à la liste des instantanés disponibles.
- Localisez l’instantané nouvellement créé.
- Sélectionnez l’instantané et choisissez le Restaurer ou Action → Restaurer option.
Étape 5: Remplissez les détails en tant qu’ancien
- Lorsque vous êtes invité à restaurer l’instantané, remplissez les détails en utilisant la même configuration que l’ancienne base de données. Cela comprend:
Taille d’instance, configurations de base de données, détails de réseautage, options de stockage
- Assurez-vous que toutes les configurations correspondent à l’ancienne configuration pour maintenir la continuité.
Étape 6: Créez la sortie de la base de données restaurée
- Après avoir rempli les détails nécessaires, cliquez Créer Pour restaurer l’instantané sur une nouvelle instance.
- En attendant que le processus soit terminé.
- Vérifiez que la nouvelle base de données est restaurée avec succès.
Meilleures pratiques pour le cryptage RDS
- Activez les sauvegardes automatisées et validez les instantanés.
- Les clés de cryptage sécurisées et les coûts de stockage de surveillance.
- Testez les bases de données restaurées avant de changer de trafic.
- Assurez-vous que les groupes de sécurité et la surveillance CloudWatch sont configurés.
- Cela garantit un processus d’instantané RDS sécurisé et efficace.
Conclusion
Suivre ces étapes assure un processus sécurisé, efficace et fluide pour prendre, chiffrer et restaurer des instantanés RDS dans AWS. La mise en œuvre des meilleures pratiques telles que les sauvegardes automatisées, la gestion des clés de chiffrement et la surveillance proactive peuvent améliorer la sécurité des données et la résilience opérationnelle. Une bonne planification et une validation à chaque étape minimiseront les risques et aideront à maintenir la continuité des activités.
Source link