Pemulihan Bencana Global untuk AWS Aurora

Sekiranya berlaku pemulihan bencana global, adalah penting kami mempunyai sandaran pangkalan data yang disimpan dalam akaun AWS yang berbeza. Aurora RDS boleh menyalin sandaran DB ke rantau lain atau akaun lain tetapi bukan kedua-duanya. Selain itu, salinan merentas akaun tidak disokong jika kluster Aurora DB digunakan dengan kunci terurus AWS. Menukar kunci kluster memerlukan penempatan semula kluster.

Untuk kes penggunaan sedemikian, salah satu pendekatan ialah menggunakan sandaran AWS

Untuk kes penggunaan sedemikian, salah satu pendekatan yang diterangkan dalam dokumen AWS: Melindungi kejadian Amazon RDS yang disulitkan dengan sandaran merentas akaun dan merentas Wilayah.

Tetapi dokumentasi AWS adalah berdasarkan templat pembentukan awan AWS. Saya mencipta semula ini menggunakan terraform.

Pendekatan ini memberikan fleksibiliti untuk menyalin sandaran AWS Aurora ke Vault dalam akaun silang dan merentas rantau kedua-duanya. Kami tidak memerlukan gugusan Aurora untuk digunakan dengan kunci KMS tersuai.

Penyelesaian menggunakan pelan AWS Backup untuk membuat sandaran berjadual pangkalan data Amazon RDS ke bilik kebal sumber (rantau Prod, akaun Prod).
Pelan sandaran yang sama mentakrifkan peraturan salin, yang menyalin sandaran ke bilik kebal perantaraan dalam akaun yang sama, tetapi dalam Wilayah DR (akaun Prod, wilayah storan DR).

Penyelesaian kemudian menggunakan EventBridge untuk menangkap penyiapan kerja salin AWS Backup yang berjaya dan menggunakan peristiwa ini untuk mencetuskan fungsi AWS Lambda. Fungsi AWS Lambda kemudiannya menggunakan AWS Backup untuk melaksanakan kerja penyalinan sandaran lain untuk menyalin sandaran daripada bilik kebal perantaraan dalam akaun Prod ke bilik kebal destinasi yang berada dalam akaun DR (akaun DR, kawasan storan DR) .

sumber:https://aws.amazon.com/blogs/storage/protecting-encrypted-amazon-rds-instances-with-cross-account-and-cross-region-backups/

Atas RDS DB yang disulitkan dengan kunci terurus RDS KMS AWS lalai dalam akaun pengeluaran disandarkan oleh AWS Backup ke SourceVault (dikonfigurasikan untuk menggunakan cmk-source-vault-account-a-region-a encryption ), dan sandaran kemudiannya disalin ke IntermediateVault (dikonfigurasikan untuk digunakan cmk-intermediate-vault-account-a-region-b penyulitan). Walaupun SourceVault dikonfigurasikan untuk menggunakan penyulitan "cmk-source-vault-account-a-region-a", syot kilat Amazon RDS yang disimpan pada SourceVault masih disulitkan dengan RDS KMS AWS lalai yang diuruskan kunci (aws/rds). Langkah menyalin syot kilat daripada SourceVault ke IntermediateVault akan menyahsulit syot kilat dan menyulitkan semula syot kilat dengan "cmk-intermediate-vault-account-a-region-b" dalam IntermediateVault. Kunci terurus pelanggan "cmk-intermediate-vault-account-a-region-b" kemudiannya boleh dikongsi ke akaun sandaran DR untuk digunakan untuk salinan silang akaun. Semasa penyalinan silang akaun, syot kilat akan disulitkan semula dengan kekunci peti besi destinasi “cmk-destination-vault-account-b-region-b”.

Selepas salinan ke IntermediateVault selesai, peraturan EvenBridge dalam akaun pengeluaran (akaun A, Wilayah A) mengenal pasti peristiwa "kerja salin selesai" dan memajukan acara itu ke EventBridge dalam akaun A, Wilayah B, yang dalam giliran mencetuskan fungsi Lambda. Fungsi Lambda akan menyemak sama ada teg yang sesuai wujud pada titik pemulihan dan akan meminta AWS Backup untuk menyalin sandaran daripada akaun pengeluaran (akaun A, Region B, IntermediateVault) ke akaun sandaran DR (akaun B, Region B, DestinationVault) untuk mencapai salinan sandaran merentas akaun dan merentas Wilayah.

Kebaikan

• Tidak perlu menggunakan semula kluster Aurora
• Salinan sandaran DR di rantau lain.

Keburukan

• Penyelesaian yang rumit.

Pelaksanaan

Prasyarat

• Struktur organisasi sedia ada yang dikonfigurasikan dalam Organisasi AWS
• Ciri silang akaun AWS Backup didayakan dalam organisasi
• Mengikut serta untuk membuat sandaran Amazon RDS di setiap Wilayah

Aliran Sandaran
Contoh RDS/S3/EFS → AWS Backup ke dalam Vault akaun anda → Cross-account copy backup dari Vault anda ke GDR Vault

Anda boleh mendapatkan kod Terraform daripada Github Repo

Atas ialah kandungan terperinci Pemulihan Bencana Global untuk AWS Aurora. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!