Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Control de acceso

Puedes tener credenciales válidas para autenticar tus solicitudes, pero a menos que tengas los permisos adecuados, no podrás acceder a AWS Backup recursos como las bóvedas de respaldo. Tampoco puedes hacer copias de seguridad de AWS recursos como los volúmenes de Amazon Elastic Block Store (AmazonEBS).

Cada AWS recurso es propiedad de un Cuenta de AWS, y los permisos para crear o acceder a un recurso se rigen por las políticas de permisos. Un administrador de cuentas puede adjuntar políticas de permisos a AWS Identity and Access Management (IAM) identidades (es decir, usuarios, grupos y roles). Y algunos servicios también permiten asociar políticas de permisos a recursos.

Un administrador de la cuenta (o usuario administrador) es un usuario con permisos de administrador. Para obtener más información, consulte las prácticas IAM recomendadas en la Guía del IAM usuario.

Cuando concede permisos, decide quién debe obtener los permisos, para qué recursos se obtienen permisos y qué acciones específicas desea permitir en esos recursos.

En las secciones siguientes se explica cómo funcionan las políticas de acceso y como puede utilizarlas para proteger sus copias de seguridad.

Recursos y operaciones

Un recurso es un objeto que existe dentro de un servicio. AWS Backup los recursos incluyen planes de respaldo, bóvedas de respaldo y copias de seguridad. Backup es un término general que se refiere a los distintos tipos de recursos de respaldo que existen en AWS. Por ejemplo, las instantáneas de Amazon, EBS las instantáneas de Amazon Relational Database Service (RDSAmazon) y las copias de seguridad de Amazon DynamoDB son todos tipos de recursos de copia de seguridad.

En AWS Backup, las copias de seguridad también se denominan puntos de recuperación. Cuando lo usa AWS Backup, también trabaja con los recursos de otros AWS servicios que intenta proteger, como los EBS volúmenes de Amazon o las tablas de DynamoDB. Estos recursos tienen nombres de recursos de Amazon (ARNs) exclusivos asociados a ellos. ARNsidentifique los AWS recursos de forma exclusiva. Debe disponer de una ARN cuando necesite especificar un recurso de forma inequívoca en todos los ámbitos AWS, como en IAM las políticas o API las llamadas.

En la siguiente tabla se enumeran los recursos, los subrecursos, el ARN formato y un ejemplo de identificador único.

Todos los recursos que permiten una AWS Backup administración completa tienen puntos de recuperación en ese formatoarn:aws:backup:region:account-id::recovery-point:*, lo que facilita la aplicación de políticas de permisos para proteger esos puntos de recuperación. Para ver qué recursos admiten una AWS Backup administración completa, consulte esa sección de la Disponibilidad de características por recurso tabla.

AWS Backup proporciona un conjunto de operaciones para trabajar con AWS Backup los recursos. Para ver la lista de las operaciones disponibles, consulte AWS Backup Acciones.

Propiedad del recurso

Cuenta de AWS Es propietario de los recursos que se crean en la cuenta, independientemente de quién los haya creado. En concreto, el propietario del recurso es el Cuenta de AWS de la entidad principal (es decir, el usuario Cuenta de AWS raíz, un IAM usuario o un IAM rol) que autentica la solicitud de creación del recurso. Los siguientes ejemplos ilustran cómo funciona:

Especificación de los elementos de las políticas: acciones, efectos y entidades principales

Para cada AWS Backup recurso (consulteRecursos y operaciones), el servicio define un conjunto de API operaciones (consulteAcciones). Para conceder permisos para estas API operaciones, AWS Backup define un conjunto de acciones que puede especificar en una política. La realización de una API operación puede requerir permisos para más de una acción.

A continuación se indican los elementos más básicos de la política:

Para obtener más información sobre la sintaxis y las descripciones de las IAM políticas, consulte la referencia IAM JSON de políticas en la Guía del IAM usuario.

Para ver una tabla que muestra todas las AWS Backup API acciones, consulteAPIpermisos: referencia a acciones, recursos y condiciones.

Especificación de las condiciones de una política

Al conceder permisos, puede utilizar el lenguaje de la IAM política para especificar las condiciones en las que una política debe entrar en vigor. Por ejemplo, es posible que desee que solo se aplique una política después de una fecha específica. Para obtener más información sobre cómo especificar las condiciones en el lenguaje de una política, consulte Condición en la Guía del IAM usuario.

AWS admite claves de condición globales y claves de condición específicas del servicio. Para ver todas las claves de condición globales, consulte las claves de contexto de condición AWS globales en la Guía del IAMusuario.

AWS Backup define su propio conjunto de claves de condición. Para ver una lista de claves de AWS Backup condición, consulte las claves de condición AWS Backup en la Referencia de autorización de servicio.

APIpermisos: referencia a acciones, recursos y condiciones

Al configurar Control de acceso y redactar una política de permisos que pueda adjuntar a una IAM identidad (políticas basadas en la identidad), puede utilizar la siguiente de tablas como referencia. La lista de la tabla cada AWS Backup API operación, las acciones correspondientes para las que puede conceder permisos para realizar la acción y el AWS recurso para el que puede conceder los permisos. Las acciones se especifican en el campo Action de la política y el valor del recurso se especifica en el campo Resource de la política. Si el campo Resource está en blanco, puede usar el comodín (*) para incluir todos los recursos.

Puede utilizar claves AWS de condición generales en sus AWS Backup políticas para expresar las condiciones. Para obtener una lista completa de las claves AWS anchas, consulta las claves disponibles en la Guía del IAMusuario.

Utilice las barras de desplazamiento para ver el resto de la tabla.

¹ Utiliza la política de acceso a la bóveda existente.

² Consulte AWS Backup recurso ARNs para conocer el punto de recuperación específico del recurso. ARNs

³ StartRestoreJob debe tener el par clave-valor en los metadatos del recurso. Para obtener los metadatos del recurso, llame al. GetRecoveryPointRestoreMetadata API

⁴ Algunos tipos de recursos requieren que el rol que realiza la copia de seguridad tenga un permiso de etiquetado específico backup:TagResource si planea incluir etiquetas de recursos originales en la copia de seguridad o agregar etiquetas adicionales a una copia de seguridad. Cualquier copia de seguridad que ARN comience por arn:aws:backup:region:account-id:recovery-point: o que sea continua requiere este permiso. backup:TagResourceel permiso debe aplicarse a "resourcetype": "arn:aws:backup:region:account-id:recovery-point:*"

Para obtener más información, consulte Acciones, recursos y claves de condición de AWS Backup en la Referencia de autorizaciones de servicio.

Permisos de copia de etiquetas

Cuando AWS Backup realiza un trabajo de copia de seguridad o copia, intenta copiar las etiquetas del recurso de origen (o del punto de recuperación en el caso de una copia) al punto de recuperación.

Durante un trabajo de copia de seguridad o copia, AWS Backup agrega las etiquetas que especifique en su plan de copia de seguridad (o plan de copia, o copia de seguridad bajo demanda) con las etiquetas del recurso de origen. Sin embargo, AWS impone un límite de 50 etiquetas por recurso, que AWS Backup no se puede superar. Cuando un trabajo de copia de seguridad o copia agrega etiquetas del plan y del recurso de origen, podría detectar más de 50 etiquetas en total, no podrá completar el trabajo y dará como resultado un error. Esto es coherente con las mejores AWS prácticas de etiquetado en general. Para obtener más información, consulte Tag limits en la Guía de referencia general de AWS .

Puede utilizar su plan de copia de seguridad para crear etiquetas que contradigan las etiquetas del recurso de origen. Cuando ambas estén en conflicto, prevalecerán las etiquetas del plan de copia de seguridad. Utilice esta técnica si prefiere no copiar el valor de una etiqueta del recurso de origen. Especifique la misma clave de etiqueta, pero con un valor diferente o vacío, utilizando su plan de copia de seguridad.

DynamoDB no admite la asignación de etiquetas a las copias de seguridad a menos que habilite primero la Copia de seguridad avanzada de DynamoDB.

Cuando una EC2 copia de seguridad de Amazon crea un punto de recuperación de imágenes y un conjunto de instantáneas, AWS Backup copia las etiquetas en las resultantesAMI. AWS Backup también copia las etiquetas de los volúmenes asociados a la EC2 instancia de Amazon en las instantáneas resultantes.

Políticas de acceso

Una política de permisos describe quién tiene acceso a qué. Las políticas asociadas a una IAM identidad se denominan políticas basadas en la identidad (políticas)IAM. Las políticas adjuntas a un recurso se denominan políticas basadas en recursos. AWS Backup admite tanto las políticas basadas en la identidad como las políticas basadas en los recursos.

Políticas basadas en la identidad (políticas) IAM

Las políticas basadas en la identidad son políticas que se pueden adjuntar a las IAM identidades, como los usuarios o los roles. Por ejemplo, puede definir una política que permita a un usuario ver los AWS recursos y realizar copias de seguridad, pero que le impida restaurar las copias de seguridad.

Para obtener más información sobre los usuarios, los grupos, las funciones y los permisos, consulte Identidades (usuarios, grupos y funciones) en la Guía del IAM usuario.

Para obtener información sobre cómo utilizar IAM las políticas para controlar el acceso a las copias de seguridad, consultePolíticas administradas para AWS Backup.

Políticas basadas en recursos

AWS Backup admite políticas de acceso basadas en recursos para las bóvedas de respaldo. De este modo, puede definir una política de acceso que puede controlar qué usuarios tienen qué tipo de acceso a cualquiera de las copias de seguridad organizadas en un almacén de copias de seguridad. Las políticas de acceso basadas en recursos para almacenes de copia de seguridad ofrecen una manera fácil de controlar el acceso a sus copias de seguridad.

Las políticas de acceso a Backup Vault controlan el acceso de los usuarios cuando usted lo usa AWS Backup APIs. También se puede acceder a algunos tipos de copias de seguridad, como las instantáneas de Amazon Elastic Block Store (AmazonEBS) y RDS Amazon Relational Database Service (Amazon), mediante esos servicios». APIs Puede crear políticas de acceso independientes IAM que controlen el acceso a ellas para controlar completamente APIs el acceso a las copias de seguridad.

Para obtener información sobre cómo crear una política de acceso para almacenes de copias de seguridad, consulte Políticas de acceso a almacenes.