如何更改RDS KMS密钥而不丢失数据？

Question

我们有一个托管在 AWS RDS 上的 PostgreSQL 数据库。当使用cloudformation创建它时，我将其设置为加密，但没有设置加密密钥。因此，它被设置为使用默认加密密钥。

此后我被告知，有一个公司标准，所有 RDS 实例都应该有自己的密钥。

我已经使用 cloudformation 创建了新密钥并将其与 RDS 实例关联，但是当我部署此模板时，它想要删除并重新创建数据库。

我不太熟悉这一切是如何工作的，并且我正在寻找一个不会导致我们丢失数据的程序。如果需要的话，一点停机时间不会对我们造成伤害。

Answer 1

有了 RDS，这很容易。您将有一些停机时间，具体取决于数据量。对于小实例，一个小时，对于大实例，留出一天。好的部分是，创建快照后，您可以独立测试，而不会影响您的实例。

一切都在 AWS RDS 控制台中执行。

1) 创建 RDS 实例的快照。

2) 复制快照，选择新的主密钥。

3) 恢复实例或从快照创建新实例。

注意：对于像这样修改数据的项目，我更喜欢只创建一个新的 RDS 实例。验证一切，然后关闭旧实例。