Copias, snapshots compartidos y su exposición

Según la documentación de RDS, solo los snapshots manuales se comparten. Para compartir uno automático hay que copiarlo primero a uno manual y compartir la copia. Un snapshot manual sin cifrar se puede compartir con cuentas concretas o con todas las cuentas de AWS, lo que lo hace público. Un snapshot cifrado nunca puede ser público, y si se cifró con la llave administrada por AWS no se puede compartir en absoluto; con una llave propia se puede compartir con cuentas concretas, siempre que la llave también se comparta con ellas.

Por eso, al revisar, la pregunta no es solo «¿con quién está compartido?», sino «¿está cifrado y con qué llave?». Un snapshot sin cifrar de una base que sí lo estaba sería una incoherencia que merece explicación.

Abre el laboratorio y lee la tabla snapshots. La columna compartido_con dice con quién está compartida cada copia. Una de ellas, sin cifrar, está compartida con todas las cuentas de AWS. Hay dos copias de la misma base: distingue la pública.

Compartir con una cuenta propia o con un proveedor contratado puede ser normal. Compartir con una cuenta que no figura en ningún inventario es un hallazgo: pudo ser un error de digitación, una cuenta de un excolaborador o algo peor. La tabla cuentas_conocidas lista las cuentas que Nemocon reconoce. Cruza con ella el snapshot de la base de clientes.

Ahora toda la lista, no solo uno: cuenta los snapshots compartidos con al menos una cuenta que no figura en el inventario. No cuentes la publicación a «todos», que es otro hallazgo y ya lo encontraste en la tarea 2.

La retención de las copias automáticas decide hasta cuándo se puede volver atrás. Una base que conserva un solo día de copias no puede recuperarse de un error que se descubre pasado el fin de semana. La política de Nemocon pide 35 días para los datos Restringidos. La tabla retencion pone lado a lado lo que se tiene y lo que se exige.