온프레미스 환경에서 KMS로 암호화된 백업 파일을 SQL Server용 RDS로 복원하려면 어떻게 해야 하나요?

간략한 설명

AWS KMS 암호화를 사용하면 AWS KMS 키를 사용해 SQL Server용 RDS의 Microsoft SQL Server 백업 파일을 안전하게 암호화합니다. 동일한 AWS 계정 내에서만 암호화된 백업을 RDS SQL Server 인스턴스로 복원할 수 있습니다.

사전 요구 사항:

• Amazon Simple Storage Service(S3) 버킷
• 고객 관리형 AWS KMS 키
  참고: Amazon RDS에서는 비대칭 AWS KMS 키를 지원하지 않습니다.
• 기본 백업 복원 실행하도록 사전 구성된 RDS 인스턴스 자세한 내용을 보려면 SQL Server를 실행하는 Amazon RDS DB 인스턴스의 기본 백업을 실행하려면 어떻게 해야 하나요?를 참고하세요.
• 백업 파일의 복호화를 위해 로컬 시스템에 설치된 Python 3.10

해결 방법

1. @kms_master_key_arn AWS KMS 키 파라미터를 지정해 기본 백업에서 클라이언트 측 암호화를 시작합니다.

   exec msdb.dbo.rds_backup_database @source_db_name='database-name',
   @s3_arn_to_backup_to='arn:aws:s3:::bucket-name/Filename.bak',
   @kms_master_key_arn='arn:aws:kms:us-east-1:account-id:key/xxxxx-xxxxx-xxxxx-xxxxx-xxxxxxxxx1';

2. 동일한 AWS 리전과 계정의 다른 SQL Server용 RDS 인스턴스에서 AWS KMS 암호화된 백업을 복원합니다. 다음 명령에서 백업을 암호화할 때 사용한 AWS KMS 키를 지정합니다.

   exec msdb.dbo.rds_restore_database @restore_db_name='database-name',
   @s3_arn_to_restore_from='arn:aws:s3:::bucket-name/Filename.bak',
   @kms_master_key_arn='arn:aws:kms:us-east-1:account-id:key/xxxxx-xxxxx-xxxxx-xxxxx-xxxxxxxxx1';

동일한 계정의 다른 리전에서 AWS KMS 암호화 백업을 복원합니다.

1. 다중 리전 프라이머리 키를 생성합니다. 키 유형으로 대칭 키를 선택합니다.

2. 대상 리전의 복제 키를 생성합니다.

3. 리전 A에 있는 @kms_master_key_arn AWS KMS 키 파라미터를 지정해 암호화된 기본 백업을 시작합니다.

   exec msdb.dbo.rds_backup_database @source_db_name='database-name',
   @s3_arn_to_backup_to='arn:aws:s3:::bucket-name/Filename.bak',
   @kms_master_key_arn='arn:aws:kms:us-east-1:account-id:key/xxxxx-xxxxx-xxxxx-xxxxx-xxxxxxxxx2';

4. 백업 파일을 같인 리전의 S3 버킷에 복사합니다. Amazon RDS에서는 리전 간 버킷을 지원하지 않습니다.

5. 리전 B에 있는 AWS KMS 암호화된 백업을 복원합니다. 백업을 암호화할 때 사용한 AWS KMS 키 ID를 지정합니다.

   exec msdb.dbo.rds_restore_database ;@restore_db_name='database-name',
   @s3_arn_to_restore_from='arn:aws:s3:::bucket-name/Filename.bak',
   @kms_master_key_arn='arn:aws:kms:us-east-2:account-id:key/xxxxx-xxxxx-xxxxx-xxxxx-xxxxxxxxx2';

   참고: us-east-2를 내 AWS KMS 키 리전으로 바꾸세요.

계정 간, 리전 간, 온프레미스 환경에서 AWS KMS 암호화된 백업을 복원합니다.

다음 세 가지 시나리오에서는 다른 방법을 사용해 백업을 복원해야 합니다.

• 계정 간: 같은 리전에 있는 다른 계정으로 AWS KMS 암호화된 데이터베이스 백업을 복원해야 합니다. AWS KMS 키를 Amazon RDS 계정 간에 공유할 수 없습니다. 예를 들어, AWS KMS 키 K1을 사용해 계정 A의 백업을 암호화하고 동일한 키를 사용해 계정 B의 백업을 복원할 수 없습니다.
• 계정 및 리전 간: 다른 리전과 다른 계정에서 AWS KMS 암호화된 데이터베이스 백업을 복원해야 합니다. AWS KMS 키를 계정 간에 공유하거나 Amazon RDS 리전 간에 버킷을 사용할 수 없습니다.
• 온프레미스: AWS KMS 암호화된 데이터베이스 백업을 온프레미스 환경에서 복원해야 합니다. AWS KMS 키 세부 정보는 외부 엔터티입니다. 복원 전에 AWS KMS 암호화된 파일을 복호화해야 합니다.

이와 같은 제한을 해결하려면 Amazon RDS에서 사용하기 위해 Microsoft SQL Server 백업 클라이언트측 암호화 및 복호화에서 Amazon RDS에서 SQL Server용 내보내기 섹션을 참고하세요.

관련 정보

TDE 활성화된 SQL Server 데이터베이스를 SQL Server용 Amazon RDS로 마이그레이션

온프레미스 환경에서 SQL Server용 RDS의 암호화된 백업 파일이나 암호화된 Microsoft Azure 백업을 복원하려면 어떻게 해야 하나요?