Минимальные разрешения KMS для копирования моментального снимка базы данных

Теперь я понял это методом проб и ошибок. Поскольку я не люблю выполнять одну и ту же задачу более одного раза, я ее автоматизировал (см. скрипт ниже).

Это необходимые разрешения для копирования моментального снимка RDS:

["kms:CreateGrant","kms:DescribeKey"]

Это сценарий, который я использовал. Может быть, это полезно для других людей, у которых есть аналогичная проблема. Он взломан вместе, поэтому не ожидайте, что он будет работать из коробки.

#!/bin/bash

set -euo pipefail

unknown=(
    kms:CancelKeyDeletion
    kms:CreateAlias
    kms:CreateAlias
    kms:CreateGrant
    kms:CreateKey
    kms:Decrypt
    kms:DeleteAlias
    kms:DeleteAlias
    kms:DescribeKey
    kms:DisableKey
    kms:DisableKeyRotation
    kms:EnableKey
    kms:EnableKeyRotation
    kms:Encrypt
    kms:GenerateRandom
    kms:GenerateDataKey
    kms:GenerateDataKeyWithoutPlaintext
    kms:GetKeyPolicy
    kms:GetKeyRotationStatus
    kms:ListAliases
    kms:ListGrants
    kms:ListKeyPolicies
    kms:ListKeys
    kms:ListRetirableGrants
    kms:PutKeyPolicy
    kms:ReEncryptFrom
    kms:ReEncryptTo
    kms:RetireGrant
    kms:RevokeGrant
    kms:ScheduleKeyDeletion
    kms:UpdateAlias
    kms:UpdateAlias
    kms:UpdateKeyDescription
)
required=()

KEY_ID=86a6300d-38f9-4892-b7a1-d8f821e8438c
export AWS_DEFAULT_OUTPUT=json

function check_copy {
    permissions=$( echo -n "${required[*]} ${unknown[*]}" | jq -R -s 'split(" ")' )

    policy=$( aws kms \
        get-key-policy \
        --key-id ${KEY_ID} \
        --policy-name default \
      | jq ".Policy" -r \
      | jq ".Statement[1].Action |= ${permissions}"
    )

    aws kms \
        put-key-policy \
        --key-id ${KEY_ID} \
        --policy-name default \
        --policy "${policy}"

    aws rds \
        delete-db-snapshot \
        --db-snapshot-identifier rds-backup-share-mysql-reencrypted \
        || true

    (
        set -x
        AWS_ACCESS_KEY_ID=XXX \
        AWS_SECRET_ACCESS_KEY=XXX \
        aws rds \
            copy-db-snapshot \
            --source-db-snapshot-identifier rds-backup-share-mysql \
            --target-db-snapshot-identifier rds-backup-share-mysql-reencrypted \
            --kms-key-id alias/rds-snapshot-share \
            || return 1

    aws rds \
        wait db-snapshot-completed \
        --db-snapshot-identifier rds-backup-share-mysql-reencrypted
    ) || return 1

    return 0
}

check_copy
while [ ${#unknown[@]} -gt 0 ]
do
    removed=${unknown[0]}
    unknown=(${unknown[@]:1})

    if ! check_copy
    then
        required+=($removed)
    fi

    echo "Required permissions so far: ${required[*]}"
    echo "Unknown permissions so far: ${unknown[*]}"
done

echo -n "Minimal permissions: "
echo -n "${required[*]}" | jq -R -s -c 'split(" ")'

Я нашел другую основную причину этого и другое решение:

Просто создайте, а затем удалите RDS в целевом регионе!

AWS RDS просто отказывался копировать моментальный снимок, что бы я ни делал с ключевыми политиками, ПОКА я не создал небольшой автоматический RDS. Теперь любой ключ работает "из коробки", даже новые без смены политики!

Я также делаю копию моментального снимка базы данных RDS, но использую Powershell, а моя база данных — MS SQL. Я получаю ту же ошибку:

The target snapshot KMS key [<kms-arn>] does not exist, 
is not enabled or you do not have permissions to access it.

Я оказался здесь со своими поисками, проверкой своего профиля, учетных данных, ролей и т. д., но все выглядит хорошо.

Моя ошибка заключалась в том, что я не указал регион в Copy-RDSDBSnapshot (в Powershell; эквивалентно copy-db-snapshot в CLI). Поскольку я копирую между регионами для сценария аварийного восстановления, я должен указать KmsKeyId целевого региона (поскольку он будет откладываться от исходного региона). Исходный регион us-east-1 является моим регионом по умолчанию, поэтому выполнение этого не сработало, оно завершилось с ошибкой выше, так как я ничего не указывал, он работает в моем регионе по умолчанию us-east-1 и, следовательно, не могу найти ключ us-west-2, как говорит ошибка, он «не существует» в этом регионе, это не имеет отношения к разрешениям:

Copy-RDSDBSnapshot -SourceDBSnapshotIdentifier $dBSnapshotArn `
                   -SourceRegion 'us-east-1' `
                   -TargetDBSnapshotIdentifier $targetSnapshotName `
                   -KmsKeyId 'arn:aws:kms:us-west-2:xxxxx:key/xxxxx' `
                   -CopyTag $true -OptionGroupName 'myOptionGroup'

Добавление так называемого «Общего параметра» Region помогло:

Copy-RDSDBSnapshot -SourceDBSnapshotIdentifier $dBSnapshotArn `
                   -SourceRegion 'us-east-1' `
                   -TargetDBSnapshotIdentifier $targetSnapshotName `
                   -KmsKeyId 'arn:aws:kms:us-west-2:xxxxx:key/xxxxx' `
                   -CopyTag $true -OptionGroupName 'myOptionGroup' `
                   -Region 'us-west-2'  # <-- new line

Помимо разрешений из других ответов, обязательно используйте симметричный ключ шифрования. Ошибки AWS неясны в том, что они означают, и то же самое сообщение об ошибке используется, когда вы пытаетесь сделать что-то с асимметричным ключом, что должно быть сделано с симметричным.