AWS amplió la función Amazon EBS Volume Clones para permitir copiar volúmenes de almacenamiento entre distintas cuentas de AWS, después de que las copias instantáneas estuvieran limitadas a la misma cuenta dentro de la misma zona de disponibilidad (Availability Zone). La cuenta de destino puede volver a cifrar la copia mediante una clave de AWS Key Management Service (AWS KMS) perteneciente a ella.
La nueva capacidad está dirigida a escenarios de desarrollo y pruebas que necesitan datos de aplicaciones actualizados, sin mantener los entornos que no son de producción dentro de la misma cuenta de producción. Según AWS, por ejemplo, se puede utilizar una copia del entorno de producción para actualizar los entornos de desarrollo y pruebas ubicados en cuentas separadas, aplicando la configuración de cifrado requerida en la cuenta de destino.
¿Cómo se realiza el proceso de copia?
El propietario de un volumen EBS comienza concediendo a la cuenta de destino permiso para acceder al volumen mediante AWS Resource Access Manager (AWS RAM), ya sea añadiendo el volumen a un recurso compartido existente o creando uno nuevo. Después, la cuenta de destino debe aceptar el recurso compartido desde la consola de RAM.
Una vez completada la aceptación, el volumen compartido aparece en la página de volúmenes EBS de la cuenta de destino, donde se puede seleccionar Copy volume para crear la copia. AWS también proporciona eventos de monitorización mediante AWS CloudTrail y Amazon EventBridge; se puede hacer un seguimiento del inicio del proceso y de su finalización, cuando el estado del volumen copiado cambia de initializing a completed. Los datos de los eventos incluyen el identificador del volumen compartido, el identificador de la cuenta consumidora y la hora del evento.
Restricciones de cifrado y ubicación
Se pueden compartir volúmenes sin cifrar o volúmenes cifrados mediante una clave administrada por el cliente (CMK). En cambio, los volúmenes cifrados con la clave administrada por AWS de forma predeterminada (AWS managed key) no se pueden compartir de esta manera. Si el volumen de origen está cifrado mediante una CMK, también se debe compartir la clave con la cuenta de destino. Al crear la copia, se puede especificar una CMK diferente para volver a cifrarla dentro de la cuenta de destino.
La función no permite trasladar la copia a una zona de disponibilidad diferente; la copia debe crearse en la misma zona de disponibilidad en la que se encuentra el volumen de origen. Para determinar una ubicación física idéntica entre cuentas, AWS recomienda utilizar identificadores de zonas de disponibilidad como use1-az1 en lugar de limitarse a los nombres de las zonas lógicas.
¿Qué cambia en la práctica?
El cambio más importante es separar el intercambio de datos de EBS de la cuenta de producción, manteniendo al mismo tiempo el proceso de copia sujeto a aprobaciones claras mediante AWS RAM. Esto proporciona a los equipos de desarrollo y pruebas una forma directa de obtener una copia actualizada, pero no elimina la necesidad de revisar los permisos de uso compartido y las claves de KMS antes de iniciar el proceso, especialmente porque el acceso al volumen y a la clave requiere configuraciones independientes.
Se aplican cargos únicos al proceso de copia según el tamaño del volumen, que se facturan a la cuenta en la que residirá la copia, mientras que AWS no cobra por compartir volúmenes EBS mediante AWS RAM. Después de crearse, la copia empieza a generar los cargos habituales de los volúmenes EBS. La función está disponible en todas las regiones de AWS compatibles con Amazon EBS Volume Clones y se puede ejecutar desde la consola de Amazon EC2. AWS también señala que es posible utilizar AWS MCP Server y sus extensiones asociadas para gestionar mediante programación el uso compartido y la copia a través de herramientas de programación basadas en inteligencia artificial.