A AWS ampliou o recurso Amazon EBS Volume Clones para permitir a cópia de volumes de armazenamento entre diferentes contas da AWS, depois que as cópias instantâneas estavam limitadas à mesma conta dentro da mesma zona de disponibilidade (Availability Zone). A conta de destino pode recriptografar a cópia usando uma chave do AWS Key Management Service (AWS KMS) pertencente a ela.
A nova possibilidade é destinada a cenários de desenvolvimento e teste que precisam de dados de aplicativos recentes, sem manter ambientes não produtivos na mesma conta do ambiente de produção. Segundo a AWS, por exemplo, é possível usar uma cópia do ambiente de produção para atualizar ambientes de desenvolvimento e teste existentes em contas separadas, aplicando as configurações de criptografia necessárias na conta de destino.
Como funciona o processo de cópia?
O proprietário de um volume EBS começa concedendo à conta de destino permissão de acesso ao volume por meio do AWS Resource Access Manager (AWS RAM), adicionando o volume a um compartilhamento de recursos existente ou criando um novo compartilhamento. Em seguida, a conta de destino deve aceitar o compartilhamento de recursos no console do RAM.
Após a conclusão da aceitação, o volume compartilhado aparece na página de volumes EBS da conta de destino, onde é possível selecionar Copy volume para criar a cópia. A AWS também disponibiliza eventos de monitoramento por meio do AWS CloudTrail e do Amazon EventBridge; é possível acompanhar o início do processo e sua conclusão, quando o estado do volume copiado muda de initializing para completed. Os dados dos eventos incluem o ID do volume compartilhado, o ID da conta consumidora e o horário do evento.
Restrições de criptografia e localização
É possível compartilhar volumes não criptografados ou volumes criptografados usando uma chave gerenciada pelo cliente (CMK). Já os volumes criptografados com a chave gerenciada padrão da AWS (AWS managed key) não podem ser compartilhados dessa forma. Se o volume de origem estiver criptografado com uma CMK, a chave também deverá ser compartilhada com a conta de destino. Ao criar a cópia, é possível especificar uma CMK diferente para recriptografá-la dentro da conta de destino.
O recurso não permite mover a cópia para uma zona de disponibilidade diferente; a cópia deve ser criada na mesma zona de disponibilidade em que o volume de origem está localizado. Para determinar a localização física correspondente entre as contas, a AWS recomenda usar identificadores de zonas de disponibilidade, como use1-az1, em vez de depender apenas dos nomes lógicos das zonas.
O que muda na prática?
A mudança mais importante é separar o compartilhamento de dados do EBS da conta de produção, mantendo o processo de cópia sujeito a aprovações claras por meio do AWS RAM. Isso oferece às equipes de desenvolvimento e teste uma maneira direta de obter uma cópia recente, mas não elimina a necessidade de revisar as permissões de compartilhamento e as chaves do KMS antes de iniciar o processo, especialmente porque o acesso ao volume e à chave exige configurações separadas.
É cobrada uma tarifa única pelo processo de cópia, de acordo com o tamanho do volume, e ela é atribuída à conta onde a cópia ficará, enquanto a AWS não cobra pelo compartilhamento de volumes EBS por meio do AWS RAM. Após ser criada, a cópia passa a estar sujeita às tarifas normais dos volumes EBS. O recurso está disponível em todas as regiões da AWS que oferecem suporte ao Amazon EBS Volume Clones e pode ser usado no console do Amazon EC2. A AWS também indica a possibilidade de usar o AWS MCP Server e as extensões associadas a ele para lidar programaticamente com o compartilhamento e a cópia por meio de ferramentas de programação com suporte de inteligência artificial.