Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Crear copias de seguridad en todas partes Cuentas de AWS

Con él AWS Backup, puede realizar copias de seguridad de hasta varias Cuentas de AWS copias a pedido o automáticamente como parte de un plan de copias de seguridad programado. Utilice una copia de seguridad multicuenta si desea copiar sus copias de seguridad de forma segura a una o más personas Cuentas de AWS de su organización por motivos operativos o de seguridad. Si la copia de seguridad original se elimina accidentalmente, puede copiar la copia de seguridad de su cuenta de destino a su cuenta de origen y, a continuación, iniciar la restauración. Para poder hacerlo, debe tener dos cuentas que pertenezcan a la misma organización en el servicio AWS Organizations . Para obtener más información, consulte Tutorial: Creación y configuración de una organización en la Guía del usuario de Organizations.

En su cuenta de destino, debe crear un almacén de copias de seguridad. A continuación, debe asignar una clave gestionada por el cliente para cifrar las copias de seguridad en la cuenta de destino y una política de acceso basada en los recursos para permitir el acceso AWS Backup a los recursos que desee copiar. En la cuenta de origen, si sus recursos están cifrados con una clave administrada por el cliente, debe compartir esta clave con la cuenta de destino. A continuación, puede crear un plan de copia de seguridad y elegir una cuenta de destino que forme parte de su unidad organizativa en AWS Organizations.

Al copiar una copia de seguridad en varias cuentas por primera vez, la AWS Backup copia de seguridad completa. En general, si un servicio admite copias de seguridad incrementales, las copias posteriores de esa copia de seguridad en la misma cuenta son incrementales. AWS Backup vuelve a cifrar la copia con la clave gestionada por el cliente de la bóveda de destino.

Configuración de la copia de seguridad entre cuentas

Para obtener información acerca de la seguridad, consulte Consideraciones de seguridad para la copia de seguridad entre cuentas.

Para utilizar la copia de seguridad entre cuentas, debe habilitar la característica de copia de seguridad entre cuentas. A continuación, debe “permitir” la política de acceso backup:CopyIntoBackupVault a su almacén de copias de seguridad de destino.

Programación de copias de seguridad entre cuentas

Puede utilizar un plan de copia de seguridad programadas para copiar las copias de seguridad en Cuentas de AWS.

Realización de copias de seguridad entre cuentas bajo demanda

Si lo desea, puede copiar una copia de seguridad en una copia de seguridad diferente Cuenta de AWS .

Claves de cifrado y copias multicuenta

La clave de cifrado de copias multicuenta depende del tipo de recurso. Los recursos que lo tienen Administración completa AWS Backup utilizan la clave de cifrado de la bóveda de respaldo de origen. KMSLas claves administradas por el cliente se pueden utilizar para el cifrado de copias entre cuentas de estos tipos de recursos.

Los tipos de recursos que no se administran por completo AWS Backup tienen la misma KMS clave de origen y de recursoKMS. No se admite la copia multicuenta con KMS claves AWS administradas para estos tipos de recursos que no estén completamente gestionados por AWS Backup.

Si necesitas ayuda adicional para solucionar errores de copia entre cuentas, consulta el AWS Knowledge Center.

Al realizar una copia multicuenta, la política de KMS claves de la cuenta de origen debe incluir la cuenta de destino en la política de KMS claves.

Restaurar una copia de seguridad de una Cuenta de AWS a otra

AWS Backup no admite la recuperación de recursos de uno Cuenta de AWS a otro. Sin embargo, puede copiar una copia de seguridad desde una cuenta a otra diferente y, a continuación, restaurarla en esa cuenta. Por ejemplo, no puede restaurar una copia de seguridad de la cuenta A a la cuenta B, pero puede copiar una copia de seguridad de la cuenta A a la cuenta B y, a continuación, restaurarla en la cuenta B.

La restauración de una copia de seguridad de una cuenta a otra es un proceso de dos pasos.

Intercambio de un almacén de copias de seguridad con una cuenta de AWS diferente

AWS Backup le permite compartir un almacén de copias de seguridad con una o varias cuentas, o con toda su organización AWS Organizations. Puede compartir un almacén de copias de seguridad de destino con una AWS cuenta, un usuario o un IAM rol de origen.

Puede utilizar IAM políticas para compartir su almacén de copias de seguridad.

Comparta un almacén de copias de seguridad de destino con un IAM rol Cuenta de AWS o

La siguiente política comparte una bóveda de respaldo con el número de cuenta 4444555566666 y la IAM función SomeRole en el número de cuenta111122223333.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":[
          "arn:aws:iam::444455556666:root",
          "arn:aws:iam::111122223333:role/SomeRole"
        ]
      },
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*"
    }
  ]
}

Comparte una bóveda de respaldo de destino en la que se encuentre una unidad organizativa AWS Organizations

La siguiente política comparte un almacén de copias de seguridad con las unidades organizativas que utilizan su PrincipalOrgPaths.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAnyValue:StringLike":{
          "aws:PrincipalOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Comparta una bóveda de respaldo de destino con una organización en AWS Organizations

La siguiente política comparte un almacén de copias de seguridad con la organización con un PrincipalOrgID de “o-a1b2c3d4e5”.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "aws:PrincipalOrgID":[
            "o-a1b2c3d4e5"
          ]
        }
      }
    }
  ]
}

Configuración de la cuenta como cuenta de destino

La primera vez que habilita las copias de seguridad multicuenta con su cuenta de AWS Organizations administración, cualquier usuario de una cuenta de miembro puede configurar su cuenta para que sea una cuenta de destino. Te recomendamos configurar una o más de las siguientes políticas de control de servicios (SCPs) AWS Organizations para limitar tus cuentas de destino. Para obtener más información sobre cómo adjuntar políticas de control de servicios a AWS Organizations los nodos, consulte Adjuntar y separar políticas de control de servicios.

Limitar las cuentas de destino mediante etiquetas

Cuando se vincula a una cuenta AWS Organizations raíz, OU o individual, esta política limita las copias de los destinos de esa raíz, unidad organizativa o cuenta a solo aquellas cuentas con bóvedas de respaldo que hayas etiquetado. DestinationBackupVault El permiso "backup:CopyIntoBackupVault" controla el comportamiento del almacén de copias de seguridad y, en este caso, qué almacenes de copias de seguridad de destino son válidos. Utilice esta política, junto con la etiqueta correspondiente que se aplica a los almacenes de destino aprobados, para controlar el destino de las copias entre cuentas únicamente a las cuentas y almacenes de copia de seguridad aprobados.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "Null":{
          "aws:ResourceTag/DestinationBackupVault":"true"
        }
      }
    }
  ]
}

Limitar las cuentas de destino mediante números de cuenta y nombres de almacén

Cuando se vincula a una cuenta AWS Organizations raíz, OU o cuenta individual, esta política limita las copias que se originen en esa raíz, unidad organizativa o cuenta a solo dos cuentas de destino. El permiso "backup:CopyFromBackupVault" controla el comportamiento de un punto de recuperación del almacén de copias de seguridad y, en este caso, los destinos a los que se puede copiar ese punto de recuperación. El almacén de origen solo permitirá realizar copias en la primera cuenta de destino (112233445566) si uno o varios nombres del almacén de copias de seguridad de destino comienzan por cab-. El almacén de origen solo permitirá realizar copias en la segunda cuenta de destino (123456789012) si el destino es un almacén de copias de seguridad único llamado fort-knox.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"arn:aws:ec2:*:snapshot/*",
      "Condition":{
        "ForAllValues:ArnNotLike":{
          "backup:CopyTargets":[
            "arn:aws:backup:*:112233445566:backup-vault:cab-*",
            "arn:aws:backup:us-west-1:123456789012:backup-vault:fort-knox"
          ]
        }
      }
    }
  ]
}

Limite las cuentas de destino mediante unidades organizativas en AWS Organizations

Cuando estén asociadas a una AWS Organizations raíz o unidad organizativa que contenga su cuenta de origen, o cuando estén asociadas a su cuenta de origen, la siguiente política limita las cuentas de destino a aquellas cuentas que estén dentro de las dos especificadasOUs.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringNotLike":{
          "backup:CopyTargetOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Consideraciones de seguridad para la copia de seguridad entre cuentas

Tenga en cuenta lo siguiente cuando realice copias de seguridad entre cuentas en AWS Backup: