Comment puis-je résoudre une instance Amazon RDS ou un cluster Aurora qui se trouve dans un état de chiffrement inaccessible ?

Résolution

Remarque : Si des erreurs surviennent lorsque vous exécutez des commandes de l'interface de la ligne de commande AWS (AWS CLI), consultez la section Résoudre des erreurs liées à l’AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l'AWS CLI.

Important : Il est recommandé d'activer les sauvegardes pour les instances Amazon RDS chiffrées et les clusters Aurora. Pour plus d'informations, consultez la section Déterminer si le chiffrement est activé pour une instance de base de données et Déterminer si le chiffrement est activé pour un cluster de base de données.

État inaccessible-encryption-credentials-recoverable

Votre instance de base de données Amazon RDS ou votre cluster de bases de données Aurora doit pouvoir accéder à la clé de chiffrement AWS Key Management Service (AWS KMS). Si l'instance ou le cluster ne parvient pas à accéder à la clé de chiffrement AWS KMS, le cluster ou l'instance passe à un état inaccessible-encryption-credentials-recoverable.

Pour résoudre l'état inaccessible-encryption-credentials-recoverable, procédez comme suit :

• Vérifiez que le compte AWS contenant la clé AWS KMS est actif.
  Remarque : Si le compte est suspendu, réactivez-le.

• Vérifiez que vous avez activé la clé AWS KMS.

• Vérifiez si la clé AWS KMS est programmée pour la suppression. Si la suppression de la clé est planifiée, annulez-la.

• Utilisez AWS CloudShell pour redémarrer votre instance de base de données ou votre cluster. Vous pouvez également exécuter l'une des commandes de l'interface de ligne de commande AWS suivantes pour redémarrer votre instance ou cluster Amazon RDS ou Aurora.
  Pour redémarrer votre instance de base de données Amazon RDS, exécutez la commande jstart-db-instance suivante :

  aws rds start-db-instance --db-instance-identifier example-instance

  Remarque : Remplacez example-instance par le nom de votre instance Amazon RDS.

  Pour redémarrer votre cluster de base de données Aurora, exécutez la commande start-db-cluster :

  aws rds start-db-cluster --db-cluster-identifier example-cluster

  Remarque : Remplacez example-cluster par le nom de votre cluster Aurora.

État inaccessible-encryption-credentials

Si l'instance Amazon RDS ou le cluster Aurora ne se rétablit pas dans les 7 jours, l'instance ou le cluster passe à l'état inaccessible-encryption-credentials du terminal.

Dans la mesure où vous ne pouvez pas arrêter les instances de base de données avec des réplicas en lecture, des réplicas en lecture interrégionaux et des réplicas en lecture dans la région, ces instances contournent l'état récupérable. Lorsque l'instance Amazon RDS ne peut pas accéder à la clé AWS KMS au bout de 2 heures, les instances passent directement à l'état inaccessible-encryption-credentials du terminal.

Pour résoudre l'état inaccessible-encryption-credentials, effectuez une restauration instantanée en tant que nouvelle instance Amazon RDS ou nouveau cluster Aurora. Vous pouvez également effectuer une reprise ponctuelle (PITR) sur une période spécifiée pour la nouvelle instance Amazon RDS ou le nouveau cluster Aurora.

Remarque : Vous devez disposer de la clé AWS KMS pour effectuer la restauration de l’instantané ou PITR. Si vous avez supprimé ou perdu la clé AWS KMS, vous ne pourrez pas récupérer les données.

Si vous ne parvenez pas à supprimer l'instance de base de données ou le cluster à l’état inaccessible-encryption-credential, utilisez l'interface de ligne de commande AWS pour désactiver la protection contre la suppression.

• Pour une instance Amazon RDS, exécutez la commande modify-db-instance :

  aws rds modify-db-instance --db-instance-identifier example-instance --no-deletion-protection

  Remarque : Remplacez example-instance par le nom de votre instance.
• Pour un cluster Aurora, exécutez la commande modify-db-cluster :

  aws rds modify-db-cluster --db-cluster-identifier example-cluster --no-deletion-protection

  Remarque : Remplacez example-cluster par le nom de votre cluster.

Pour supprimer une instance de base de données Amazon RDS ou un cluster Amazon Aurora à l’état inaccessible-encryption-credentials, exécutez les commandes de l'interface de ligne de commande AWS suivantes.

• Pour une instance Amazon RDS, exécutez la commande delete-db-instance :

  aws rds delete-db-instance --db-instance-identifier example-instance --skip-final-snapshot

  Remarque : Remplacez example-instance par le nom de votre instance Amazon RDS.
• Pour un cluster Aurora, exécutez la commande delete-db-cluster suivante :

  aws rds delete-db-cluster --db-cluster-identifier example-cluster --skip-final-snapshot

  Remarque : Remplacez example-cluster par le nom de votre cluster Amazon Aurora.

Si votre instance Amazon RDS ou votre cluster Aurora n'est pas supprimé après avoir exécuté les commandes précédentes, contactez AWS Support.

Informations connexes

Chiffrement des ressources Amazon RDS

Chiffrement des ressources Aurora