Banco em outra conta

Quando o banco está em uma conta e o datalake em outra, a exportação roda na conta de origem e escreve direto no bucket do Data Pump. O dado bruto não trafega duas vezes, e o snapshot não precisa ser compartilhado nem copiado.

Isso tem uma consequência prática boa: não é preciso que o cluster use uma chave KMS própria. Snapshots cifrados com a chave padrão do RDS (aws/rds) funcionam — o que não seria verdade se o snapshot precisasse ser compartilhado.

O que é criado na conta de origem

Só o mínimo para exportar:

• Uma event subscription do RDS, que avisa quando o snapshot fica pronto
• Duas roles IAM de escopo mínimo: uma para a exportação, outra para o evento

Nenhum dado fica nessa conta, e o Data Pump não ganha acesso a nada além do snapshot exportado.

A ordem importa

A conta de origem entra no pacote

Cada conta de origem acrescenta permissões ao template, então precisa ser informada no handoff. Integrar uma conta nova depois exige um pacote novo — não é configurável no console.

As duas contas se referenciam, então a instalação tem três passos:

1. Na conta do Data Pump

sh install-datapump.sh

Cria o bucket e a chave de exportação, e imprime os ARNs que o passo 2 precisa.

2. Na conta de origem

Com as credenciais da conta que hospeda o cluster:

VERSION=v1.0.0 \
DATAPUMP_ACCOUNT=111122223333 \
DATAPUMP_TOPIC_ARN=arn:...:datapump-rds-snapshot-export-to-s3-prd \
DATAPUMP_BUCKET_ARN=arn:aws:s3:::datapump-datalake-prd \
DATAPUMP_EXPORT_KMS_KEY_ARN=arn:aws:kms:...:key/... \
SOURCE_CLUSTER_IDENTIFIER=meu-cluster \
sh install-source-account.sh

Os quatro ARNs vêm da saída do passo 1.

3. De volta na conta do Data Pump

sh source-accounts.sh add 444455556666

Autoriza as roles criadas no passo 2 a escrever no bucket e usar a chave. Sem este passo, a exportação falha com erro de permissão.

Mais de uma conta de origem

Repita os passos 2 e 3 para cada conta. O source-accounts.sh mantém a lista e reaplica a autorização de todas — adicionar uma conta nova não remove as anteriores.

Para ver a lista atual:

sh source-accounts.sh list

Depois de instalado

O resto é igual ao cenário de conta única: marque o cluster em Origens e os bancos em Bancos. Veja configurar a ingestão.

No console, as origens aparecem identificadas pela conta, para não confundir clusters de mesmo nome em contas diferentes.