AWS заблокировал аккаунт —
что делать и как забрать данные за 90 дней

Скриншот и сохранение уведомления от AWS

Полный скриншот письма и любых текстов в консоли AWS — точная формулировка (suspended / terminated / restricted), дата, причина. Пригодится и для support-кейса, и для нас, если вы позже позвоните.

Проверить IAM access keys — работают ли

С машины разработчика или CI, где хранятся ключи, попробовать простую команду:

aws sts get-caller-identity
aws s3 ls
aws ec2 describe-instances --max-results 5

Если возвращают данные — вы «в дамках»: у вас есть рабочий канал для эвакуации даже если консоль недоступна. Если AccessDenied / ExpiredToken / Sign in required — только через Support.

Открыть support case (даже на Basic Plan)

Через AWS Console → Support → Create Case. Категория Account and Billing → Account Suspended/Terminated. Текст на английском, вежливый, конкретный. Если ваш Support Plan — Business или Enterprise, ответ в течение 1-24 часов; на Basic может занять недели.

Subject: Account <12-digit account ID> suspended/terminated — request data recovery access

Hello AWS Support,

Our account <ID> was suspended/terminated on <date>. We understand the concerns and are working on resolution.

Our team needs read-only access to retrieve customer data as required by data-protection regulations we are subject to. Specifically:
 - Read access to S3 buckets: <list of bucket names or 'all in account'>
 - Access to RDS snapshots: <names or 'all'>
 - Access to EBS snapshots: <list>

We commit to using this access only for data extraction, within the 90-day window. Please confirm what steps are required.

Thank you,
<your name>

Если IAM работает — начать s3 sync немедленно

Пока AWS раздумывает, что делать с вашим кейсом, тащим всё, что можем, локально или в новый бакет (в другом облаке):

# зеркалим в локальный диск (быстро, но нужен объём)
aws s3 sync s3://your-bucket/ ./local-copy/ --request-payer requester

# лучше — сразу в целевое хранилище через rclone
rclone copy aws-src:your-bucket selectel-dst:your-bucket --transfers 32 --checkers 16

Забэкапить БД через RDS dump

Если RDS-инстансы ещё работают (в suspended иногда работают, в terminated — нет), сразу дампим:

pg_dump -h your-rds.abc.eu-west-1.rds.amazonaws.com \
        -U your-user -d your-db \
        -Fc -Z 9 -f your-db.dump

# для MySQL:
mysqldump -h your-rds.abc.eu-west-1.rds.amazonaws.com \
          -u your-user -p your-db \
          --single-transaction --routines --triggers | gzip > your-db.sql.gz

Если RDS уже недоступен, а у вас есть snapshot — экспортируем в S3 через AWS Console (RDS → Snapshots → Export to S3). Работает даже в suspended-состоянии.

EC2 → snapshot → download

Виртуалки не скачаешь напрямую, но EBS-снапшоты можно экспортировать как VMDK через VM Import/Export, а дальше конвертировать в формат Selectel/YC. Или проще — снять снапшот, поднять новую VM в другом облаке из чистого образа + залить нужные данные из бэкапа.

Не забыть секреты: Secrets Manager, Parameter Store, KMS

Часто это самое ценное — API-ключи от третьих сервисов, приватные ключи, пароли БД. Экспортируем всё пока IAM живой:

aws secretsmanager list-secrets --output json > secrets-list.json
aws ssm get-parameters-by-path --path / --recursive --with-decryption > params.json

# KMS-ключи не выгрузить, но список — обязательно:
aws kms list-keys > kms-keys.json

KMS-ключи сами по себе не забрать, но можно расшифровать всё, что зашифровано ими, пока ключи ещё активны. После terminated они умирают — все зашифрованные данные становятся мусором.