如何处理AWS异地或跨账户RDS（mysql）备份

问题描述

在使用AWS的RDS时，用户想要实现一种解决方案，以便在RDS内部提供逐点恢复的备份。然而，尽管用户已经采取了保护根账户的各种措施，但他们仍然担心如果有人获得访问权限，可能会清除整个AWS账户，包括所有的备份，从而导致整个公司瘫痪。那么，有什么最佳方式来处理这个问题呢？您是否对根账户和策略有100%的信任，可以防止有恶意企图清除数据库和所有备份的行为？

此外，用户还关心如何处理跨账户的异地备份，即从一个不同的RDS账户进行备份。他们考虑是否应该定期从另一个系统执行mysqldump命令，还是有更好的方式？

解决方案

请注意以下操作可能会因AWS服务更新或变化而产生差异。建议在操作之前查阅最新文档。

多账户策略来降低风险

在保护根账户的前提下，您可以通过创建多个账户来降低资源删除风险。例如，如果您需要保护的所有AWS资源是2个RDS数据库服务器，您可以创建2个其他账户，这些账户只能访问每个数据库服务器的快照，并且不能访问任何其他资源。这样的设置将要求入侵者同时入侵主账户和一个备份账户，这会显著增加攻击的难度。

异地备份到不同账户

方案1：使用IAM角色和AWS CLI

以下是将快照从账户A（当前的RDS账户）复制到账户B（新账户）的步骤（未经测试）：

1. 在账户A中创建一个新的IAM角色，用于从账户B进行访问。
2. 创建一个允许从账户A读取RDS快照的新策略，并将其分配给IAM角色。
3. 确保”信任策略”已经启用，详细步骤可以参考这里。
4. 在账户B中，使用AWS CLI运行copy-db-snapshot命令。

方案2：使用Lambda函数和CloudWatch事件

另一种自动化异地备份的方式是使用Lambda函数和CloudWatch事件。以下是步骤：

1. 在账户B中创建一个Lambda函数，该函数具有复制RDS快照的功能。
2. 设置CloudWatch事件以定期触发Lambda函数。
3. Lambda函数中通过AWS API调用执行复制操作。

以上这些方式都需要根据具体情况进行调整和配置，以适应您的需求和环境。

结论

通过多账户策略和合适的工具，您可以降低恶意清除数据库和备份的风险，同时实现跨账户的异地备份。选择适合您情况的方式，确保在执行操作前充分了解和测试，以保证数据的安全性和可靠性。

请注意，本解决方案中的操作可能会因AWS服务更新或变化而发生变化，建议在操作之前查阅最新的AWS文档以获取准确的指导。