使用跨账户的 AWS RDS 灾难恢复

Question

我们正在运行 AWS RDS PostgreSQL，具有每日自动快照，由 AWS 托管的 KMS 密钥加密。 我的目标是最大程度地减少风险和数据丢失，以防主 AWS 账户（运行 RDS）受到威胁或 RDS 以某种方式被删除/损坏。

到目前为止我们已实现的内容：RDS 快照与不同的（备份）帐户共享，定期复制到备份帐户并使用备份帐户中的 KMS 密钥重新加密，在本地制作副本，并独立于主 AWS 帐户。

我想知道在发生灾难事件时是否有更好的方法来最小化恢复时间目标和恢复点目标？

Answer 1

这篇 AWS 博客文章似乎很好地权衡了这些选项。

自动备份仅限于单个 AWS 区域，而跨多个区域支持手动快照和只读副本。

拥有跨区域只读副本将为您提供最佳 RPO 和 RTO，因为您可以将副本提升为独立实例，这应该会提高您的 RPO/RTO

或者，如果您选择使用Amazon Aurora Backtrack，它似乎提供了与拥有只读副本类似的选项，但我没有使用此功能的个人经验，因此不能说它在改进 RTO 和 RPO 方面的效果如何。

Answer 2

我写了两个脚本在上面绘制的图表中实现了流程^^^，想法是每天运行它们：

src 帐户中的src_acc_take_share_rds_snapshot.py ：

• 根据提供的正则表达式列出可用的 RDS 快照
• 使用从 dst 帐户共享的 KMS 密钥重新加密它们
• 与 dst 帐户共享重新加密的 RDS 快照
• 删除旧的解密快照

dst 帐户中的dst_acc_copy_shared_rds_snapshot_to_local.py

• 列出 RDS 快照，在 src 帐户中与 dst 帐户共享
• 将 RDS 快照从 src 帐户复制到 dst 帐户
• 删除旧的解密快照
• 如果需要快照计数 != 实际，则触发 SNS 消息

并将它们放在 GitHub https://github.com/mvasilenko/dr-rds-share-snapshot