¿Cómo soluciono los problemas de restauración de instantáneas de mi clúster de base de datos compatible con Aurora PostgreSQL?

Resolución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de problemas de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Antes de solucionar los errores de restauración de instantáneas, comprueba que la instantánea es compatible con la configuración de destino y que dispones de los permisos necesarios.

Verificación de la compatibilidad de las instantáneas antes de la restauración

Antes de restaurar una instantánea, comprueba la compatibilidad de la versión para evitar errores.

Comprobación del estado de la instantánea y la versión del motor

Puedes usar la consola o la AWS CLI para verificar la compatibilidad de la versión antes de restaurar una instantánea.

Para utilizar la consola, sigue estos pasos:

1. Abre la consola de Amazon Relational Database Service (Amazon RDS).
2. Elige Instantáneas.
3. Selecciona tu instantánea.
4. Selecciona la pestaña Detalles y, a continuación, confirma las siguientes configuraciones:<br id=hardline_break/> Comprueba que el parámetro Engine sea aurora-postgresql.<br id=hardline_break/> Confirma que la versión del motor es compatible con la versión de destino.<br id=hardline_break/> Asegúrate de que el estado esté establecido en Disponible.

Para usar la AWS CLI para enumerar todas las versiones compatibles con Aurora PostgreSQL disponibles, ejecuta el siguiente comando describe-db-engine-versions:

aws rds describe-db-engine-versions \
    --engine aurora-postgresql \
    --query "DBEngineVersions[?EngineVersion=='your-snapshot-version'].ValidUpgradeTarget[*].EngineVersion" \
    --region your-region

Nota: Sustituye your-snapshot-version por la versión del motor de tu instantánea y your-region por tu región de AWS.

Verificación de los permisos de IAM

Asegúrate de que tu usuario o rol de AWS Identity and Access Management (IAM) tenga los permisos necesarios para restaurar la instantánea.

Para comprobar tus permisos actuales, ejecuta el siguiente comando get-user de la AWS CLI:

aws iam get-user --region your-region

Nota: Sustituye your-region por tu región de AWS.

Ejemplo de política de IAM:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rds:RestoreDBClusterFromSnapshot",
                "rds:CreateDBInstance",
                "rds:DescribeDBSnapshots",
                "rds:DescribeDBClusters",
                "rds:DescribeDBInstances"
            ],
            "Resource": "*"
        }
    ]
}

Solución de errores de permisos de IAM

Si no tienes los permisos de Amazon RDS necesarios, verás el siguiente mensaje de error:

«User is not authorized to perform: rds:RestoreDBClusterFromSnapshot»

Para resolver este error, añade los permisos de Amazon RDS necesarios a tu política de IAM. Sigue estos pasos:

1. Abre la consola de IAM.

2. A continuación, en el panel de navegación, elige Usuarios o Roles.

3. Selecciona tu nombre de usuario o rol.

4. Elige Agregar permisos.

5. Elige Crear política insertada o edita una política que ya esté adjunta a la entidad de IAM.

6. Elige la pestaña JSON.

7. Introduce una política que incluya los permisos necesarios para la restauración de instantáneas:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "rds:RestoreDBClusterFromSnapshot",
                   "rds:CreateDBInstance",
                   "rds:DescribeDBSnapshots",
                   "rds:DescribeDBClusterSnapshots",
                   "rds:DescribeDBClusters",
                   "rds:DescribeDBInstances"
               ],
               "Resource": "*"
           }
       ]
   }

8. Elige Siguiente.

9. Introduce un nombre de política. Por ejemplo, introduce RDSSnapshotRestorePolicy.

10. Selecciona Crear política.

Solución de errores de permisos de cifrado de AWS KMS

Si intentas restaurar una instantánea cifrada sin los permisos adecuados de AWS Key Management Service (AWS KMS), verás uno de los siguientes mensajes de error:

«Unable to restore from encrypted snapshot»

«KMS key access denied»

Para resolver el error, comprueba la clave de AWS KMS que utiliza la instantánea y, a continuación, añade los permisos de AWS KMS necesarios a tu política de IAM.

Para comprobar la clave de AWS KMS que usa la instantánea, ejecuta el siguiente comando describe-db-cluster-snapshots:

aws rds describe-db-cluster-snapshots \
    --db-cluster-snapshot-identifier your-snapshot-id \
    --region your-region

Nota: Sustituye your-snapshot-id por tu identificador de instantáneas y your-region por ru región de AWS.

A continuación, añade los permisos de AWS KMS a tu política de IAM:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:CreateGrant",
                "kms:DescribeKey",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:region:account-id:key/key-id"
        }
    ]
}

Nota: Sustituye region por tu región de AWS, account-id por el ID de tu cuenta de AWS y key-id por el nombre de tu ID de clave de AWS KMS.

Solución de errores de instantáneas no encontradas

Si intentas restaurar desde una instantánea que no existe o a la que no puedes acceder, verás el siguiente mensaje de error:

«DBClusterSnapshotNotFoundFault: DBClusterSnapshot snapshot-id not found»

Para resolver este error, comprueba que la instantánea existe y que tiene permisos de acceso.

Para ver una lista de las instantáneas disponibles en tu cuenta, ejecuta el siguiente comando describe-db-cluster-snapshots:

aws rds describe-db-cluster-snapshots \
    --region your-region

Nota: Sustituye your-region por tu región de AWS.

Si la instantánea se comparte desde otra cuenta de AWS, comprueba que se compartió con tu cuenta y que has aceptado compartirla.

Solución de errores de parámetros no válidos

Si especificas una clase de instancia incompatible durante la restauración, verás el siguiente mensaje de error:

«InvalidParameterValue: Invalid DB Instance class»

Para resolver este error, elige una clase de instancia para la edición compatible con Aurora PostgreSQL.

Para enumerar las clases de instancias válidas para la versión de motor de destino, ejecuta el siguiente comando describe-orderable-db-instance-options:

aws rds describe-orderable-db-instance-options \
    --engine aurora-postgresql \
    --engine-version your-version \
    --region your-region

Nota: Sustituye your-version por tsu versión de PostgreSQL, por ejemplo, 15.4. Sustituye your-region por tu región de AWS.

Revisa el resultado y elige una clase de instancia que sea compatible con la versión del motor de destino y las funciones necesarias.

Solución de errores de grupos de subredes

Si especificas una subred no válida durante la restauración, verás el siguiente mensaje de error:

«InvalidSubnet: The requested subnet is not valid»

Para resolver este error, comprueba que tu grupo de subredes de base de datos tenga subredes en varias zonas de disponibilidad.

Para comprobar la configuración del grupo de subredes, ejecuta el siguiente comando describe-db-subnet-groups:

aws rds describe-db-subnet-groups \
    --db-subnet-group-name your-subnet-group \
    --region your-region

Nota: Sustituye your-subnet-group por el nombre de tu grupo de subredes de base de datos y your-region por tu región de AWS.

Comprueba que el grupo de subredes contenga subredes en al menos dos zonas de disponibilidad. Si el grupo de subredes no tiene subredes en varias zonas de disponibilidad, puedes modificar el grupo de subredes para agregar subredes en zonas de disponibilidad adicionales.

Solución de errores de acceso a claves de AWS KMS entre cuentas

Si intentas restaurar una instantánea cifrada compartida desde otra cuenta de AWS sin los permisos adecuados de AWS KMS, verás el siguiente mensaje de error:

«AccessDenied: Cross-account pass role is not allowed»

Para resolver este error, asegúrate de que la política de claves de AWS KMS permita el acceso entre cuentas y de que tu rol de IAM tenga los permisos necesarios.

Para comprobar la política de claves de AWS KMS, ejecuta el siguiente comando get-key-policy:

aws kms get-key-policy \
    --key-id your-key-id \
    --policy-name default \
    --region your-region

Nota: Sustituye your-key-id por tu ID de clave de AWS KMS y your-region por tu región de AWS.

Comprueba que la política de claves incluya una instrucción que conceda acceso a tu cuenta de AWS para descifrar y crear concesiones. Si no puedes actualizar la política de claves de AWS KMS, ponte en contacto con el propietario de la instantánea para actualizar la política de claves de AWS KMS.

En el caso de las instantáneas cifradas entre cuentas, no puedes restaurarlas directamente desde la instantánea compartida. En su lugar, usa tu propia clave de AWS KMS para copiar la instantánea compartida en tu cuenta y, a continuación, restaurar desde la copia. Para obtener más información, consulta Uso compartido de instantáneas cifradas.

Solución de problemas de compatibilidad de versiones del motor

Si intentas restaurar a una versión del motor incompatible, es posible que veas un error durante el proceso de restauración.

Para solucionarlo, asegúrate de que la versión de destino sea igual o superior a la versión de PostgreSQL de la instantánea. No puedes restaurar a una versión anterior.

Para comprobar las versiones compatibles con Aurora PostgreSQL disponibles, ejecuta el siguiente comando describe-db-engine-versions:

aws rds describe-db-engine-versions \
    --engine aurora-postgresql \
    --region your-region

Nota: Sustituye your-region por tu región de AWS.

Revisa el resultado para identificar las versiones de motor compatibles con tu objetivo de restauración.

Solución de problemas de compatibilidad de clases de instancias

Si seleccionas una clase de instancia que no admite la versión del motor de destino o las funciones requeridas, es posible que la restauración devuelva un error.

Para resolver este problema, elige una clase de instancia que tenga el almacenamiento y la memoria necesarios para tu carga de trabajo. Verifica que la clase de instancia sea compatible con la versión compatible de Aurora PostgreSQL que estás restaurando y que admita cualquier función específica, como Información de rendimiento.

Para verificar la compatibilidad de las clases de instancia, ejecuta el comando describe-orderable-db-instance-options:

aws rds describe-orderable-db-instance-options \
    --engine aurora-postgresql \
    --engine-version your-version \
    --region your-region

Nota: Sustituye your-version por tsu versión de PostgreSQL, por ejemplo, 15.4. Sustituye your-region por tu región de AWS.

Información relacionada

Restauración a partir de una captura de clúster de base de datos

Uso compartido de una instantánea de clúster de base de datos

Cifrado de los recursos de Amazon Aurora

Elementos de la política de JSON de IAM: Acción