Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Vault logicamente isolata

Panoramica delle camere blindate logicamente con intercapedine

AWS Backup offre un tipo di deposito secondario in grado di archiviare i backup in un contenitore con funzionalità di sicurezza aggiuntive. Un archivio logicamente airgapped è un deposito specializzato che offre una maggiore sicurezza rispetto a un archivio di backup standard, oltre alla possibilità di condividere l'accesso al vault con altri account in modo che gli obiettivi di tempo di ripristino (RTO) possano essere più rapidi e flessibili in caso di incidente che richieda un rapido ripristino delle risorse.

Logicamente, i vault con air gapped sono dotati di funzionalità di protezione aggiuntive; ogni deposito è crittografato con una chiave AWS proprietaria (impostazione predefinita) o opzionalmente con una chiave KMS gestita dal cliente e ogni deposito è dotato della modalità di conformità di AWS Backup Vault Lock. Le informazioni sul tipo di chiave di crittografia sono visibili tramite API e console per la reportistica sulla trasparenza e sulla conformità. AWS Backup

È possibile integrare i vault logically air-gapped con Multi-party l'approvazione (MPA) per consentire il ripristino dei backup nei vault anche se l'account proprietario del deposito è inaccessibile, il che aiuta a mantenere la continuità aziendale. Inoltre, puoi scegliere di integrarti con AWS Resource Access Manager (RAM) per condividere un vault logicamente airgapped con altri AWS account (inclusi account di altre organizzazioni) in modo che i backup archiviati all'interno del vault possano essere ripristinati da un account con cui è condiviso il vault, se necessario per il ripristino della perdita di dati o il test di ripristino. Come parte di questa maggiore sicurezza, un vault logicamente airgapped archivia i propri backup in un account di proprietà del AWS Backup servizio (il che si traduce in backup visualizzati come condivisi all'esterno dell'organizzazione negli elementi degli attributi di modifica nei AWS CloudTrail log).

Nello scenario in cui l'account proprietario del vault logicamente irregolare viene chiuso (dolosamente o in altro modo), è comunque possibile accedere ai backup presenti nel vault (ripristinarli o copiarli) tramite MPA fino al termine del periodo successivo alla chiusura. Dopo la scadenza del periodo successivo alla chiusura, i backup non sono più accessibili. Durante il periodo successivo alla chiusura, puoi fare riferimento alla documentazione di gestione dell'AWS account per riprendere il controllo del tuo account mentre lavori al ripristino.

Per una maggiore resilienza, consigliamo di creare copie interregionali in archivi logicamente aperti in account uguali o separati. Tuttavia, se si desidera ridurre i costi di archiviazione conservando una sola copia, è possibile utilizzare i backup primari per creare archivi logicamente airgapped, dopo l'onboarding su MPA. AWS

Puoi visualizzare i prezzi dello storage per i backup dei servizi supportati in un vault logicamente airgapped nella pagina dei prezzi. AWS Backup

Scopri i tipi Disponibilità delle funzionalità per risorsa di risorse che puoi copiare in un vault logicamente airgapped.

Caso d'uso per archivi con intercapedine logiche

Un vault logicamente isolato è un vault secondario che fa parte di una strategia di protezione dei dati. Questo deposito può aiutare a migliorare la strategia di conservazione e il ripristino dell'organizzazione quando si desidera un deposito per i backup che

Considerazioni e limitazioni

Confronto con un vault di backup standard

Un vault di backup è il tipo di vault principale e standard utilizzato in AWS Backup. Ogni backup viene archiviato in un vault di backup al momento della creazione del backup. È possibile assegnare policy basate sulle risorse per gestire i backup archiviati nel vault, ad esempio per definire il ciclo di vita dei backup archiviati all'interno del vault.

Un vault logicamente isolato è un vault specializzato con sicurezza aggiuntiva e condivisione flessibile per tempi di ripristino (RTO) più rapidi. Questo archivio archivia i backup primari o le copie dei backup inizialmente creati e archiviati in un archivio di backup standard.

Gli archivi di backup sono crittografati con una chiave, un meccanismo di sicurezza che limita l'accesso agli utenti previsti. Queste chiavi possono essere gestite o AWS gestite dal cliente. Vedi Crittografia delle copie per il comportamento di crittografia durante i lavori di copia, inclusa la copia in un vault logicamente airgapped.

Inoltre, un deposito di backup può avere una sicurezza aggiuntiva grazie a un lucchetto; logicamente, i vault con air gapped sono dotati di un lucchetto in modalità conformità.

Analogamente ai vault di backup, i vault logicamente air gapped supportano anche tag limitati per i backup di Amazon EC2. https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#tag-restrictions

Crea un caveau logicamente airgapped

È possibile creare un vault logicamente airgapped tramite la AWS Backup console o tramite una combinazione di comandi e CLI. AWS Backup AWS RAM

Ciascun caveau logicamente airgapped è dotato di un lucchetto del vault in modalità conformità. Consulta AWS Backup Vault Lock per aiutarti a determinare i valori del periodo di conservazione più appropriati per la tua attività

Console

Creazione di un vault logicamente isolato dalla console

1. Apri la AWS Backup console all'indirizzo https://console.aws.amazon.com/backup.

2. Nel riquadro di navigazione seleziona Vault.

3. Verranno visualizzati entrambi i tipi di vault. Seleziona Crea nuovo vault.

4. Immettere un nome per il vault di backup. È possibile denominare il vault in modo che rifletta ciò che verrà archiviato o per rendere più facile la ricerca dei backup. Ad esempio, si potrebbe assegnare il nome FinancialBackups.

5. Seleziona il pulsante di opzione per Logically air-gapped vault.

6. (Facoltativo) Scegli una chiave di crittografia. Puoi selezionare una chiave KMS gestita dal cliente per un ulteriore controllo sulla crittografia o utilizzare la chiave predefinita ( AWS consigliata).

7. Imposta il Periodo di conservazione minimo.

   Questo valore (in giorni, mesi o anni) è il periodo di tempo minimo per cui un backup deve essere conservato in questo vault. I backup con periodi di conservazione inferiori a questo valore non possono essere copiati in questo vault.

   Il valore minimo consentito è di giorni. 7 I valori per mesi e anni soddisfano questo minimo.

8. Imposta il Periodo di conservazione massimo.

   Questo valore (in giorni, mesi o anni) è il periodo di tempo massimo per cui un backup deve essere conservato in questo vault. I backup con periodi di conservazione superiori a questo valore non possono essere copiati in questo vault.

9. (Facoltativo) Imposta la chiave di crittografia.

   Specifica la chiave da usare con il tuo vault. Puoi scegliere una chiave AWS di proprietà (gestita da AWS Backup) o inserire l'ARN per una chiave gestita dal cliente che preferibilmente appartiene a un altro account a cui hai accesso. AWS Backup consiglia di utilizzare una chiave AWS di proprietà.

10. (Facoltativo) Aggiungi tag che ti aiuteranno a trovare e identificare il tuo vault logicamente isolato. Ad esempio, si potrebbe aggiungere un tag BackupType:Financial.

11. Seleziona Crea vault.

12. Verifica le impostazioni. Se tutte le impostazioni risultano valorizzate come previsto, seleziona Crea un vault con isolamento logico air gap.

13. La console ti porterà alla pagina dei dettagli del nuovo vault. Verifica che i dettagli del vault siano quelli previsti.

14. Seleziona Vault per visualizzare le casseforti nel tuo account. Verrà visualizzato il tuo caveau logicamente aperto. La chiave KMS sarà disponibile circa 1-3 minuti dopo la creazione del vault. Aggiorna la pagina per visualizzare la chiave associata. Una volta che la chiave è visibile, il vault è disponibile e può essere utilizzato.

AWS CLI

Crea un vault logicamente airgapped dalla CLI

È possibile utilizzarlo per eseguire in modo programmatico operazioni AWS CLI per i vault logicamente airgapped. Ogni CLI è specifica per il servizio da cui proviene. AWS I comandi relativi alla condivisione sono preceduti da aws ram, tutti gli altri comandi devono essere preceduti da aws backup.

Usa il comando CLI create-logically-air-gapped-backup-vault, modificato con i seguenti parametri:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1 // optional
--backup-vault-name sampleName // required
--min-retention-days 7 // required Value must be an integer 7 or greater
--max-retention-days 35 // required
--encryption-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012 // optional
--creator-request-id 123456789012-34567-8901 // optional

Il --encryption-key-arn parametro opzionale consente di specificare una chiave KMS gestita dal cliente per la crittografia del vault. Se non viene fornita, il vault utilizzerà una chiave di proprietà. AWS

Esempio di comando CLI per creare un vault logicamente airgapped:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--creator-request-id 123456789012-34567-8901 // optional

Esempio di comando CLI per creare un vault logicamente airgapped con crittografia gestita dal cliente:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--encryption-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012
--creator-request-id 123456789012-34567-8901 // optional

Consulta gli elementi di risposta CreateLogicallyAirGappedBackupVault dell'API per informazioni dopo l'operazione di creazione. Se l'operazione è andata a buon fine, il nuovo vault logicamente airgapped avrà l'opzione of. VaultState CREATING

Una volta completata la creazione e assegnata la chiave crittografata KMS, passerà a. VaultState AVAILABLE Una volta disponibile, è possibile utilizzare il vault. VaultStatepuò essere recuperato DescribeBackupVault chiamando o. ListBackupVaults

Visualizza logicamente i dettagli del vault con intercapedine

Puoi visualizzare i dettagli del vault come il riepilogo, i punti di ripristino, le risorse protette, la condivisione degli account, la politica di accesso e i tag tramite la console o la CLI AWS Backup . AWS Backup

Console

1. Apri la AWS Backup console all'indirizzo. https://console.aws.amazon.com/backup

2. Nel riquadro di navigazione a sinistra, seleziona Vault.

3. Sotto le descrizioni dei vault ci saranno tre elenchi: i Vault creati da questo account, i Vault condivisi tramite RAM e i Vault accessibili tramite approvazione. Multi-party Seleziona la scheda desiderata per visualizzare i vault.

4. In Nome vault, fai clic sul nome del vault per aprire la pagina dei dettagli. Puoi visualizzare il riepilogo, i punti di ripristino, le risorse protette, la condivisione dell'account, la policy di accesso e i dettagli dei tag.

   I dettagli vengono visualizzati in base al tipo di account: gli account che possiedono un deposito possono visualizzare la condivisione degli account; gli account che non possiedono un deposito non saranno in grado di visualizzare la condivisione degli account. Per gli archivi condivisi, il tipo di chiave di crittografia (chiave KMS di AWS proprietà o gestita dal cliente) viene visualizzato nel riepilogo del vault.

AWS CLI

Visualizza i dettagli di un vault logicamente airgapped tramite CLI

Il comando CLI describe-backup-vault può essere utilizzato per ottenere dettagli su un deposito. Il parametro backup-vault-name è obbligatorio; region è facoltativo.

aws backup describe-backup-vault
--region us-east-1
--backup-vault-name testvaultname

Esempio di risposta:

{
            "BackupVaultName": "LOG-AIR-GAP-VAULT-TEST",
            "BackupVaultArn": "arn:aws:backup:us-east-1:234567890123:backup-vault:IAD-LAGV-01",
            "VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
            "EncryptionKeyType": "AWS_OWNED_KMS_KEY",
            "CreationDate": "2024-07-25T16:05:23.554000-07:00",
            "NumberOfRecoveryPoints": 0,
            "Locked": true,
            "MinRetentionDays": 8,
            "MaxRetentionDays": 30,
            "LockDate": "2024-07-25T16:05:23.554000-07:00"
}

Nota

Il VaultType campo non è incluso nella risposta API nelle regioni in cui i vault logicamente airgapped non sono disponibili.

Creazione di backup in un vault logicamente airgapped

Logicamente, gli archivi airgapped possono essere un obiettivo di destinazione del processo di copia in un piano di backup o un obiettivo per un processo di copia su richiesta. Può essere utilizzato anche come destinazione di backup principale. Vedi Backup primari in archivi logicamente airgapped.

Crittografia compatibile

Un processo di copia riuscito da un archivio di backup a un archivio logicamente airgapped richiede una chiave di crittografia determinata dal tipo di risorsa da copiare.

Quando si crea o si copia un backup di un tipo di risorsa completamente gestito, la risorsa di origine può essere crittografata da una chiave gestita dal cliente o da una chiave gestita. AWS

Quando si crea o si copia un backup di altri tipi di risorse (non completamente gestite), l'origine deve essere crittografata con una chiave gestita dal cliente. AWS le chiavi gestite per le risorse non completamente gestite non sono supportate.

Crea o copia i backup in un vault logicamente airgapped tramite un piano di backup

È possibile copiare un backup (punto di ripristino) da un deposito di backup standard a un vault logicamente airgapped creando un nuovo piano di backup o aggiornandone uno esistente nella console o tramite i comandi e. AWS Backup AWS CLI create-backup-plan update-backup-plan È inoltre possibile creare backup direttamente in un vault logicamente airgapped utilizzandolo come destinazione principale. Per maggiori dettagli, consulta Backup primari in archivi logicamente airgapped.

È possibile copiare un backup da un vault logicamente airgapped a un altro vault logicamente air-gapped su richiesta (questo tipo di backup non può essere pianificato in un piano di backup). È possibile copiare un backup da un archivio logicamente airgapped a un archivio di backup standard purché la copia sia crittografata con una chiave gestita dal cliente.

On-demand una copia di backup in un archivio logicamente airgapped

Per creare una copia una tantum su richiesta di un backup in un archivio logicamente airgapped, è possibile eseguire una copia da un archivio di backup standard. Cross-Region oppure sono disponibili copie su più account se il tipo di risorsa supporta il tipo di copia.

Disponibilità delle copie

È possibile creare una copia di un backup dall'account a cui appartiene il vault. Gli account con cui è stato condiviso il vault hanno la possibilità di visualizzare o ripristinare un backup, ma non di crearne una copia.

Possono essere inclusi solo i tipi di risorse che supportano la copia tra regioni o tra account.

Console

1. Apri la AWS Backup console all'indirizzo. https://console.aws.amazon.com/backup

2. Nel riquadro di navigazione a sinistra, seleziona Vault.

3. Nella pagina dei dettagli del vault, vengono visualizzati tutti i punti di ripristino all'interno del vault. Metti un segno di spunta accanto al punto di ripristino che desideri copiare.

4. Scegli Operazioni e seleziona Copia dal menu a discesa.

5. Nella schermata successiva, inserisci i dettagli della destinazione.

   1. Specifica la regione di destinazione.

   2. Il menu a discesa associato al vault di backup di destinazione mostra i vault di destinazione idonei. Selezionane uno con il tipo logically air-gapped vault

6. Seleziona Copia una volta che tutti i dettagli sono impostati in base alle tue preferenze.

Nella pagina Processi della console, puoi selezionare i processi Copia per visualizzare i processi di copia correnti.

AWS CLI

Usa start-copy-job per copiare un backup esistente in un archivio di backup in un archivio logicamente airgapped.

Input CLI di esempio:

aws backup start-copy-job
--region us-east-1
--recovery-point-arn arn:aws:resourcetype:region::snapshot/snap-12345678901234567
--source-backup-vault-name sourcevaultname
--destination-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:destinationvaultname
--iam-role-arn arn:aws:iam::123456789012:role/service-role/servicerole

Per ulteriori informazioni, vedere Copia di un backup, Backup interregionale e Backup. https://docs.aws.amazon.com/aws-backup/latest/devguide/cross-region-backup.html Cross-account

Condividete un vault logicamente airgapped

È possibile utilizzare AWS Resource Access Manager (RAM) per condividere un deposito con gap logico con altri account da te designati. Quando si condividono gli archivi, le informazioni sul tipo di chiave di crittografia (chiave KMS AWS di proprietà o gestita dal cliente) vengono conservate e visibili agli account con cui il deposito è condiviso.

Un archivio può essere condiviso solo con ID individuali. Account AWS Puoi condividere con un account della tua organizzazione o con un account di un'altra organizzazione. Il vault non può essere condiviso con un'intera organizzazione o con unità organizzative (OU): solo gli ID dei singoli account sono supportati come entità di condivisione.

Solo gli account con privilegi IAM specifici possono condividere e gestire la condivisione dei vault.

Per condividere utilizzando AWS RAM, assicurati di disporre di quanto segue:

Console

1. Apri la AWS Backup console all'indirizzo. https://console.aws.amazon.com/backup

2. Nel riquadro di navigazione a sinistra, seleziona Vault.

3. Sotto le descrizioni dei vault sono visualizzati due elenchi, Vault di proprietà di questo account e Vault condivisi con questo account. Le casseforti di proprietà dell'account possono essere condivise.

4. In Nome vault, fai clic sul nome del vault logicamente isolato per aprire la pagina dei dettagli.

5. Il riquadro di condivisione dell'account mostra con quali account viene condiviso il vault.

6. Per iniziare la condivisione con un altro account o per modificare gli account con cui è già condiviso, seleziona Gestione della condivisione.

7. La AWS RAM console si apre quando si seleziona Gestisci condivisione. Per i passaggi per condividere una risorsa usando la AWS RAM, vedi Creazione di una condivisione di risorse nella AWS RAM nella AWS RAM User Guide.

8. L'account che riceve un invito per partecipare alla condivisione dispone di 12 ore per accettarlo. Consulta Accettazione e rifiuto degli inviti alla condivisione di risorse nella Guida per l'utente di AWS RAM.

9. Se i passaggi di condivisione sono stati completati e accettati, la pagina di riepilogo del vault verrà visualizzata in Condivisione account = "Condiviso - vedere la tabella di condivisione dell'account riportata di seguito".

AWS CLI

AWS RAM utilizza il comando create-resource-share CLI. L'accesso a questo comando è disponibile solo per gli account con autorizzazioni sufficienti. Consulta Creazione di una condivisione di risorse in AWS RAM per i passaggi della CLI.

I passaggi da 1 a 4 devono essere eseguiti con l'account proprietario del vault logicamente isolato. I passaggi da 5 a 8 devono essere eseguiti con l'account con cui il vault logicamente isolato sarà condiviso.

1. Accedi all'account proprietario OPPURE richiedi che un utente della tua organizzazione che dispone di credenziali sufficienti per accedere all'account di origine completi questi passaggi.

   1. Se in precedenza è stata creata una condivisione di risorse e desideri aggiungerne una aggiuntiva, utilizza invece il comando CLI associate-resource-share con l'ARN del nuovo vault.

2. Recupera le credenziali di un ruolo con autorizzazioni sufficienti per la condivisione tramite RAM. Inserisci tali credenziali nella CLI.

   1. Per l'esecuzione di questa procedura è necessaria l'autorizzazione ram:CreateResourceShare. La policy AWSResourceAccessManagerFullAccess contiene tutte le RAM-related autorizzazioni.

3. Utilizza create-resource-share.

   1. Includi l'ARN del vault logicamente isolato.

   2. Input di esempio:

      aws ram create-resource-share
      --name MyLogicallyAirGappedVault
      --resource-arns arn:aws:backup:us-east-1:123456789012:backup-vault:test-vault-1
      --principals 123456789012
      --region us-east-1

   3. Output di esempio:

      {
         "resourceShare":{
            "resourceShareArn":"arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543",
            "name":"MyLogicallyAirGappedVault",
            "owningAccountId":"123456789012",
            "allowExternalPrincipals":true,
            "status":"ACTIVE",
            "creationTime":"2021-09-14T20:42:40.266000-07:00",
            "lastUpdatedTime":"2021-09-14T20:42:40.266000-07:00"
         }
      }

4. Copia l'ARN della condivisione di risorse nell'output (necessario per i passaggi successivi). Fornisci l'ARN all'operatore dell'account che stai invitando a ricevere la condivisione.

5. Ottieni l'ARN della condivisione di risorse

   1. Se non hai eseguito i passaggi da 1 a 4, richiedi la risorsa ShareArn da chi l'ha fatto.

   2. Ad esempio: arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543

6. Nella CLI, assumi le credenziali dell'account del destinatario.

7. Ricevi un invito alla condivisione delle risorse con get-resource-share-invitations. Per ulteriori informazioni, consulta Accettare e rifiutare gli inviti nella Guida per l'utente di AWS RAM .

8. Accetta l'invito nell'account di destinazione (ripristino).

   1. Utilizza accept-resource-share-invitation (può anche utilizzare reject-resource-share-invitation).

Puoi usare i comandi AWS RAM CLI per visualizzare gli elementi condivisi:

• Risorse che hai condiviso:

  aws ram list-resources --resource-owner SELF --resource-type backup:backup-vault --region us-east-1

• Mostra il principale:

  aws ram get-resource-share-associations --association-type PRINCIPAL --region us-east-1

• Risorse condivise da altri account:

  aws ram list-resources --resource-owner OTHER-ACCOUNTS --resource-type backup:backup-vault --region us-east-1

Ripristina un backup da un vault logicamente airgapped

È possibile ripristinare un backup archiviato in un vault logicamente airgapped dall'account proprietario del vault o da qualsiasi account con cui il vault è condiviso.

Per informazioni su come ripristinare un punto di ripristino tramite la console, vedere Ripristino di un backup. AWS Backup

Una volta che un backup è stato condiviso da un vault logicamente airgapped al tuo account, puoi start-restore-job utilizzarlo per ripristinare il backup.

Un esempio di input CLI può includere il comando e i parametri seguenti:

aws backup start-restore-job
--recovery-point-arn arn:aws:backup:us-east-1:accountnumber:recovery-point:RecoveryPointID
--metadata {\"availabilityzone\":\"us-east-1d\"}
--idempotency-token TokenNumber
--resource-type ResourceType
--iam-role arn:aws:iam::number:role/service-role/servicerole
--region us-east-1

Elimina un vault logicamente airgapped

Vedi eliminare un deposito. I vault non possono essere eliminati se contengono ancora backup (punti di ripristino). Assicurati che il vault sia privo di backup prima di iniziare un'operazione di eliminazione.

L'eliminazione di un vault elimina anche la chiave associata al vault sette giorni dopo l'eliminazione del vault in conformità alla politica di eliminazione delle chiavi.

Il seguente comando CLI di esempio delete-backup-vault può essere utilizzato per eliminare un vault.

aws backup delete-backup-vault
--region us-east-1 
--backup-vault-name testvaultname

Opzioni programmatiche aggiuntive per casseforti con intercapedine logiche

Il comando CLI list-backup-vaults può essere modificato per elencare tutti i vault di proprietà e presenti nell'account:

aws backup list-backup-vaults
--region us-east-1

Per elencare solo i vault logicamente isolati, aggiungi il parametro

--by-vault-type LOGICALLY_AIR_GAPPED_BACKUP_VAULT

Includete il parametro by-shared per filtrare l'elenco restituito degli archivi in modo da mostrare solo gli archivi logicamente gappati condivisi. La risposta includerà informazioni sul tipo di chiave di crittografia per ogni deposito condiviso.

aws backup list-backup-vaults
--region us-east-1
--by-shared

Esempio di risposta che mostra le informazioni sul tipo di chiave di crittografia:

{
    "BackupVaultList": [
        {
            "BackupVaultName": "shared-logically air-gapped-vault",
            "BackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:shared-logically air-gapped-vault",
            "VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
            "EncryptionKeyType": "AWS_OWNED_KMS_KEY",
            "CreationDate": "2024-07-25T16:05:23.554000-07:00",
            "Locked": true,
            "MinRetentionDays": 7,
            "MaxRetentionDays": 30
        }
    ]
}

Comprensione dei tipi di chiave di crittografia per i vault logicamente airgapped

I vault logicamente airgapped supportano diversi tipi di chiavi di crittografia e queste informazioni sono visibili tramite API e console. AWS Backup Quando i vault sono condivisi tramite AWS RAM o MPA, le informazioni sul tipo di chiave di crittografia vengono conservate e rese visibili agli account con cui il deposito è condiviso. Questa trasparenza consente di comprendere la configurazione di crittografia dei vault e di prendere decisioni informate sulle operazioni di backup e ripristino.

Valori del tipo di chiave di crittografia

Il EncryptionKeyType campo può avere i seguenti valori:

Politica chiave per la creazione di vault crittografati con logica airgapped CMK

Quando si crea un vault logicamente airgapped con una chiave gestita dal cliente, è necessario applicare la politica -managed al ruolo del proprio account. AWSAWSBackupFullAccess Questa policy include Allow azioni che consentono AWS Backup di interagire e concedere AWS KMS la creazione di chiavi KMS durante le operazioni di backup, copia e archiviazione. Inoltre, è necessario assicurarsi che la politica relativa alla chiave gestita dal cliente (se utilizzata) includa autorizzazioni specifiche richieste.

{  
    "Sid": "Allow use of the key to create a logically air-gapped vault",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[account-id]:role/TheRoleToAccessAccount"  
    },  
    "Action": [  
        "kms:CreateGrant",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*",  
   "Condition": {  
        "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
        }  
   }  
}

Politica chiave per copy/restore

Per evitare errori nei processi, rivedi la tua politica AWS KMS chiave per assicurarti che includa tutte le autorizzazioni richieste e non contenga dichiarazioni di rifiuto che potrebbero bloccare le operazioni. Si applicano le seguenti condizioni:

{  
    "Sid": "Allow use of the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole"      //[Source copy role]          
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*",  
   "Condition": {  
         "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
         }  
   }  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Source copy role]   
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        },  
        "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
        }  
    }  
}

{  
    "Sid": "Allow use of the key for copy from a CMK encrypted logically air-gapped vault to normal backup vault",
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole",      //[Source copy role]  
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]    
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*"  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
          "AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole",      //[Source copy role]  
                  "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]   
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        }  
    }  
}

{  
    "Sid": "Allow use of the key for copy/restore from a recovery account",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole", //[Recovery account copy/restore role]
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"] //[Destination SLR]    
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*"  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Recovery account copy/restore role]    
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]  
                  
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        }  
    }  
}

Ruolo IAM

Quando si eseguono operazioni di copia logicamente airgapped del vault, i clienti possono utilizzare quella che include la policy gestita. AWSBackupDefaultServiceRole AWSAWSBackupServiceRolePolicyForBackup Tuttavia, se i clienti preferiscono implementare un approccio basato sulla politica dei privilegi minimi, la loro politica IAM deve includere un requisito specifico:

{  
    "Version": "2012-10-17",  
    "Statement": [  
         {  
            "Sid": "KMSPermissions",  
            "Effect": "Allow",  
            "Action": "kms:DescribeKey",  
            "Resource": [  
                "arn:aws:kms:*:[source-account-id]:key/*",  - Source logically air-gapped vault CMK -   
                "arn:aws:kms:*:[destination-account-id]:key/*".  - Destination logically air-gapped vault CMK -   
            ]  
        },  
        {  
            "Sid": "KMSCreateGrantPermissions",  
            "Effect": "Allow",  
            "Action": "kms:CreateGrant",  
            "Resource": [  
                "arn:aws:kms:*:[source-account-id]:key/*",  - Source logically air-gapped vault CMK -   
                "arn:aws:kms:*:[destination-account-id]:key/*".  - Destination logically air-gapped vault CMK -   
            ]  
            "Condition": {  
                "Bool": {  
                    "kms:GrantIsForAWSResource": "true"  
                }  
            }  
        },  
    ]  
}

Di conseguenza, uno degli errori più comuni dei clienti si verifica durante la copia quando i clienti non forniscono autorizzazioni sufficienti sui propri CMK e sui ruoli di copia.

Visualizzazione dei tipi di chiavi di crittografia

È possibile visualizzare le informazioni sul tipo di chiave di crittografia tramite la AWS Backup console e a livello di programmazione utilizzando gli AWS CLI o SDK.

Console: quando si visualizzano i vault logicamente airgapped nella AWS Backup console, il tipo di chiave di crittografia viene visualizzato nella pagina dei dettagli del vault nella sezione delle informazioni di sicurezza.

AWS CLI/API: il tipo di chiave di crittografia viene restituito nella risposta delle seguenti operazioni quando si interrogano i vault logicamente air gapped:

Considerazioni sulla crittografia degli archivi

Quando lavorate con archivi e tipi di chiavi di crittografia logicamente airgapped, tenete presente quanto segue:

Utilizzo della chiave di proprietà del servizio

AWS Backup crea e gestisce chiavi di crittografia utilizzate per crittografare tutti i dati di backup archiviati in archivi logicamente aperti, per proteggere e prevenire la perdita di accesso alla chiave di crittografia durante un evento di perdita di dati.

Consulta la documentazione per saperne di più. AWS KMS

Considerazioni sulla correzione automatica della sicurezza

Quando AWS Backup copia un backup EC2 (AMI) su un vault logicamente airgapped, lo concede temporaneamente (sull'AMI) e launchPermission createVolumePermission (sulle istantanee EBS associate) a un account di proprietà del servizio. Queste autorizzazioni vengono revocate automaticamente al termine della copia.

Queste operazioni generano ModifyImageAttribute ModifySnapshotAttribute eventi nei AWS CloudTrail registri, con userIdentity.invokedBy impostazione impostata su. backup.amazonaws.com

Se disponi di una logica di ripristino automatico della sicurezza (ad esempio, Amazon EventBridge regola con AWS Lambda) che monitora questi eventi e revoca la condivisione tra account, devi escludere gli eventi dove si trovano. userIdentity.invokedBy backup.amazonaws.com In caso contrario, i lavori di copia nei vault logicamente aperti falliranno con la dicitura: «Non hai il permesso di accedere all'archiviazione di questo ami».

Questa esclusione è sicura perché la copia è autorizzata dalle politiche di accesso al vault (sul vault di origine e backup:CopyFromBackupVault backup:CopyIntoBackupVault sul vault di destinazione), che vengono valutate prima di apportare qualsiasi modifica agli attributi EC2. Le autorizzazioni temporanee vengono concesse solo a un account di AWS proprietà di un servizio fisso e vengono revocate automaticamente al completamento della copia.

Esempio di schema di eventi di EventBridge regole che esclude le operazioni: AWS Backup

{
  "source": ["aws.ec2"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["ec2.amazonaws.com"],
    "eventName": ["ModifySnapshotAttribute", "ModifyImageAttribute"],
    "userIdentity": {
      "invokedBy": [{"anything-but": "backup.amazonaws.com"}]
    }
  }
}

Risolvi un problema relativo al vault con apertura logica

Se riscontri errori durante il flusso di lavoro, consulta i seguenti esempi di errori e soluzioni suggerite:

Il processo di copia dell'AMI EC2 su un vault logicamente airgapped non riesce con un errore di autorizzazione

Errore: Copy job fails with "You do not have permission to access the storage of this ami."

Possibile causa: durante un processo di copia dell'AMI EC2 su un vault logicamente airgapped, concede AWS Backup temporaneamente l'autorizzazione di lancio (AMI) e l'autorizzazione alla creazione del volume (istantanea EBS) a un account di proprietà del servizio, generando eventi nei registri. ModifyImageAttribute ModifySnapshotAttribute AWS CloudTrail Se disponi di una logica di riparazione automatica di sicurezza (come EventBridge le regole con Lambda) che monitora questi eventi e revoca automaticamente le autorizzazioni di condivisione tra account, può rimuovere l'accesso temporaneo prima del completamento della copia.

Risoluzione: aggiorna lo schema degli eventi della EventBridge regola per escludere le operazioni eseguite da AWS Backup. In particolare, escludi gli eventi laddove userIdentity.invokedBy backup.amazonaws.com necessario per garantire che la logica di riparazione automatica non revochi le autorizzazioni temporanee tra account concesse durante il processo di copia. AWS Backup

AccessDeniedException

Errore: An error occured (AccessDeniedException) when calling the [command] operation: Insufficient privileges to perform this action."

Causa possibile: il parametro non --backup-vault-account-id è stato incluso quando una delle seguenti richieste è stata eseguita su un vault condiviso dalla RAM:

Risoluzione: riprova il comando che ha restituito l'errore, ma includi il parametro --backup-vault-account-id che specifica l'account proprietario del vault.

OperationNotPermittedException

Errore: OperationNotPermittedException viene restituito dopo una chiamata. CreateResourceShare

Possibile causa: se si tenta di condividere una risorsa, ad esempio un deposito logicamente aperto, con un'altra organizzazione, è possibile che si verifichi questa eccezione. Un deposito può essere condiviso con un account di un'altra organizzazione, ma non può essere condiviso con l'altra organizzazione stessa.

Risoluzione: riprova l'operazione, ma specifica un account come valore principals anziché un'organizzazione o un'unità organizzativa.

Tipo di chiave di crittografia non visualizzato

Problema: il tipo di chiave di crittografia non è visibile quando si visualizza un vault logicamente aperto o i relativi punti di ripristino.

Possibili cause:

Risoluzione:

«FALLITO» nei VaultState log AccessDeniedException CloudTrail

Errore in CloudTrail: "User: <assumed role> is not authorized to perform: kms:CreateGrant on this resource because the resource does not exist in this Region, no resource-based policies allow access, or a resource-based policy explicitly denies access"

Possibili cause:

Risoluzione:

Il vault di backup di Restore Access in stato «FALLITO» non può essere rimosso

Errore: un archivio di backup con accesso al ripristino è bloccato nello stato FALLITO. RevokeRestoreAccessBackupVaultrestituisce un errore che richiede che il vault sia nello stato AVAILABLE e CreateRestoreAccessBackupVault restituisce. LimitExceededException

Possibili cause:

Risoluzione: chiama DeleteBackupVault dall'account di ripristino per rimuovere il vault di backup con accesso al ripristino non riuscito. RevokeRestoreAccessBackupVaultsi applica solo agli archivi in stato AVAILABLE. Vault Lock non impedisce questa eliminazione, poiché un archivio di backup con accesso al ripristino è una vista del vault logicamente airgapped sottostante e non contiene punti di ripristino propri. Dopo l'eliminazione, correggi la policy relativa alle chiavi KMS e aggiungi l'autorizzazione prima di ricreare il vault. mpa:StartSession