暗号化へのアクセス不可状態にある Amazon RDS インスタンスまたは Aurora クラスターを解決する方法を教えてください。

解決策

注: AWS コマンドラインインターフェイス (AWS CLI) コマンドの実行中にエラーが発生した場合は、「AWS CLI で発生したエラーのトラブルシューティング」を参照してください。また、AWS CLI の最新バージョンを使用していることを確認してください。

重要: 暗号化された Amazon RDS インスタンスと Aurora クラスターのバックアップを有効にするのがベストプラクティスです。詳細については、「DB インスタンスの暗号化が有効かどうかを判断する」および「DB クラスターの暗号化が有効かどうかを判断する」を参照してください。

Inaccessible-encryption-credentials-recoverable 状態

Amazon RDS DB インスタンスまたは Aurora DB クラスターは、 AWS Key Management Service (AWS KMS) 暗号化キーにアクセスできる必要があります。インスタンスまたはクラスターが AWS KMS 暗号化キーにアクセスできない場合、クラスターまたはインスタンスは inaccessible-encryption-credentials-recoverable 状態になります。

Inaccessible-encryption-credentials-recoverable 状態を解決するには、次の手順を実行します。

• AWS KMS キーを保持している AWS アカウントがアクティブであることを確認します。
  注: アカウントが一時停止されている場合は、その停止されたアカウントを再度有効化します。

• AWS KMS キーを有効にしたことを確認します。

• AWS KMS キーの削除が予定されているかどうかを確認します。キーの削除が予定されている場合は、そのスケジュールされたキー削除をキャンセルします。

• AWS CloudShell を使用して DB インスタンスまたはクラスターを再起動します。または、次の AWS CLI コマンドのいずれかを実行して、Amazon RDS または Aurora インスタンスまたはクラスターを再起動します。
  Amazon RDS DB インスタンスを再起動するには、jstart-db-instance コマンドを実行します。

  aws rds start-db-instance --db-instance-identifier example-instance

  注: example-instance は、お使いの Amazon RDS インスタンスの名前に置き換えてください。

  Aurora DB クラスターを再起動するには、start-db-cluster コマンドを実行します。

  aws rds start-db-cluster --db-cluster-identifier example-cluster

  注: example-cluster は、お使いの Aurora クラスター名に置き換えてください。

Inaccessible-encryption-credentials 状態

Amazon RDS インスタンスまたは Aurora クラスターが 7 日以内に回復しない場合、インスタンスまたはクラスターは inaccessible-encryption-credentials という終了状態に移行します。

リードレプリカ、クロスリージョンリードレプリカ、およびリージョン内リードレプリカを含む DB インスタンスは停止できないため、これらのインスタンスは回復可能な状態をバイパスします。Amazon RDS インスタンスが 2 時間後に AWS KMS キーにアクセスできない場合、インスタンスは inaccessible-encryption-credentials という終了状態に直接移行します。

Inaccessible-encryption-credentials 状態を解決するには、新しいAmazon RDS インスタンスまたは Aurora クラスターとしてスナップショットの復元を実行します。または、新しい Amazon RDS インスタンスまたは Aurora クラスターに対し、指定された期間にポイントインタイムリカバリ (PITR) を実行します。

注: スナップショットの復元または PITR を実行するには、AWS KMS キーが必要です。AWS KMS キーを削除または紛失した場合、データを回復することはできません。

Inaccessible-encryption-credential 状態の DB インスタンスまたはクラスターを削除できない場合は、AWS CLI を使用して削除保護を無効にしてください。

• Amazon RDS インスタンスの場合は、次のように modify-db-instance コマンドを実行します。

  aws rds modify-db-instance --db-instance-identifier example-instance --no-deletion-protection

  注: example-instance を実際のインスタンスの名前に置き換えてください。
• Aurora クラスターの場合は、modify-db-cluster コマンドを実行します。

  aws rds modify-db-cluster --db-cluster-identifier example-cluster --no-deletion-protection

  注: example-cluster を実際のクラスターの名前に置き換えてください。

Inaccessible-encryption-credentials 状態の Amazon RDS DB インスタンスまたは Aurora DB クラスターを削除するには、次の AWS CLI コマンドを実行します。

• Amazon RDS インスタンスの場合は、次のように delete-db-instance コマンドを実行します。

  aws rds delete-db-instance --db-instance-identifier example-instance --skip-final-snapshot

  注: example-instance は、お使いの Amazon RDS インスタンスの名前に置き換えてください。
• Aurora クラスターの場合は、次の delete-db-cluster コマンドを実行します。

  aws rds delete-db-cluster --db-cluster-identifier example-cluster --skip-final-snapshot

  注: example-cluster は、お使いの Amazon Aurora クラスター名に置き換えてください。

上記のコマンドを実行しても Amazon RDS インスタンスまたは Aurora クラスターが削除されない場合は、AWS サポートにお問い合わせください。

関連情報

Amazon RDS リソースの暗号化

Aurora リソースの暗号化