Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Tener un almacén aislado lógicamente

Información general de los almacenes aislados lógicamente

AWS Backup ofrece un tipo secundario de bóveda que puede almacenar copias de seguridad en un contenedor con funciones de seguridad adicionales. Un almacén aislado lógicamente es un almacén especializado que ofrece seguridad adicional a la de un almacén de copias de seguridad estándar, así como la posibilidad de compartir el acceso al almacén con otras cuentas, de forma que el objetivo de tiempo de recuperación (RTO) sea más rápido y flexible en caso de que se produzca un incidente que requiera una restauración rápida de los recursos.

Las bóvedas aisladas lógicamente vienen equipadas con funciones de protección adicionales; cada bóveda se cifra con una clave propia (predeterminada) u, opcionalmente, con una AWS clave KMS gestionada por el cliente, y cada bóveda está equipada con el modo de cumplimiento de Vault Lock. AWS Backup La información sobre el tipo de clave de cifrado es visible a través de las AWS Backup API y la consola para ofrecer informes de transparencia y cumplimiento.

Puedes integrar tus bóvedas aisladas de forma lógica con la Multi-party aprobación (MPA) para permitir la recuperación de las copias de seguridad almacenadas en las bóvedas, incluso si no se puede acceder a la cuenta propietaria de la bóveda, lo que ayuda a mantener la continuidad empresarial. Además, puede optar por integrarse con AWS Resource Access Manager (RAM) para compartir una bóveda con espacio lógico con otras AWS cuentas (incluidas las cuentas de otras organizaciones), de modo que las copias de seguridad almacenadas en la bóveda puedan restaurarse desde una cuenta con la que se comparta la bóveda, si es necesario para la recuperación de la pérdida de datos o las pruebas de restauración. Como parte de esta seguridad adicional, una bóveda aislada de forma lógica almacena sus copias de seguridad en una cuenta propiedad del AWS Backup servicio (lo que hace que las copias de seguridad se muestren como compartidas fuera de la organización al modificar los elementos de atributos de los AWS CloudTrail registros).

En el caso de que tu cuenta de propietario de un almacén cerrado de forma lógica esté cerrada (de forma malintencionada o de otro modo), puedes seguir accediendo a las copias de seguridad del almacén (restaurarlas o copiarlas) a través de MPA hasta que finalice el período posterior al cierre. https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-closing.html#post-closure-period Una vez transcurrido el período posterior al cierre, ya no se podrá acceder a las copias de seguridad. Durante el período posterior al cierre, puedes consultar la documentación de administración de AWS cuentas para recuperar el control de tu cuenta mientras trabajas en la recuperación.

Para aumentar la resiliencia, te recomendamos crear copias entre regiones en bóvedas aisladas de forma lógica, en cuentas iguales o independientes. Sin embargo, si quieres reducir los costos de almacenamiento manteniendo una sola copia, puedes usar las copias de seguridad principales para crear bóvedas aisladas de forma lógica, después de incorporarte a MPA. AWS

En la página de precios de AWS Backup, puede consultar los precios del almacenamiento de las copias de seguridad de los servicios compatibles en un almacén aislado lógicamente.

Consulte en Disponibilidad de características por recurso los tipos de recursos que puede copiar en un almacén aislado lógicamente.

Caso de uso para almacenes aislados lógicamente

Una almacén aislado lógicamente es un almacén secundario que sirve como parte de una estrategia de protección de datos. Este almacén puede ayudar a mejorar la estrategia de retención y la recuperación de su organización cuando quiera un almacén para sus copias de seguridad que

Consideraciones y limitaciones

Comparación y contraste con un almacén de copias de seguridad estándar

Un almacén de copias de seguridad es el tipo de almacén principal y estándar que se utiliza en AWS Backup. Cada copia de seguridad se almacena en un almacén de copias de seguridad cuando se crea la copia de seguridad. Puede asignar políticas basadas en recursos para administrar las copias de seguridad almacenadas en el almacén, como el ciclo de vida de las copias de seguridad almacenadas.

Un almacén aislado lógicamente es un almacén especializado con seguridad adicional y uso compartido flexible para acelerar el tiempo de recuperación (RTO). Este almacén almacena las copias de seguridad principales o copias de las copias de seguridad que se crearon y almacenaron inicialmente en un almacén de respaldo estándar.

Los almacenes de copias de seguridad se cifran con una clave, que es un mecanismo de seguridad que limita el acceso a los usuarios previstos. Estas claves pueden gestionarse o AWS gestionarse por el cliente. Consulte Cifrado de copias para conocer el comportamiento de cifrado durante los trabajos de copia, incluida la copia en un almacén aislado lógicamente.

Además, un almacén de copias de seguridad tener más seguridad con un bloqueo de almacén; los almacenes aislados lógicamente vienen equipados con un bloqueo de almacén en modo de cumplimiento.

Al igual que las bóvedas de respaldo, las bóvedas aisladas lógicamente también admiten etiquetas restringidas para las copias de seguridad de Amazon EC2.

Crear un almacén aislado lógicamente

Puede crear una bóveda aislada de forma lógica a través de la AWS Backup consola o mediante una combinación de comandos de la CLI AWS Backup . AWS RAM

Cada almacén aislado lógicamente viene equipado con un bloqueo de almacén en modo de cumplimiento. Consulte AWS Backup Bloqueo de almacenes para determinar los valores del período de retención más adecuados para su operación

Console

Creación de un almacén aislado lógicamente desde la consola

1. Abra la consola en AWS Backup . https://console.aws.amazon.com/backup

2. En el panel de navegación, seleccione Almacenes.

3. Se mostrarán ambos tipos de almacén. Seleccione Crear nuevo almacén.

4. Escriba un nombre para su almacén de copias de seguridad. Puede asignar un nombre a su almacén para reflejar lo que almacenará en él o para facilitar la búsqueda de las copias de seguridad que necesite. Por ejemplo, podría denominarlo FinancialBackups.

5. Seleccione el botón de opción de Almacén aislado lógicamente.

6. (Opcional) Elija una clave de cifrado. Puede seleccionar una clave de KMS administrada por el cliente para tener un control adicional sobre el cifrado o usar la clave AWS de propiedad predeterminada (recomendado).

7. Establezca el Periodo de retención mínimo.

   Este valor (en días, meses o años) es el tiempo mínimo que se puede retener una copia de seguridad en este almacén. Las copias de seguridad con periodos de retención inferiores a este valor no se podrán copiar a este almacén.

   El valor mínimo permitido es 7 días. Los valores de meses y años cumplen con este mínimo.

8. Establezca el Periodo de retención máximo.

   Este valor (en días, meses o años) es el tiempo máximo que se puede retener una copia de seguridad en este almacén. Las copias de seguridad con periodos de retención superiores a este valor no se podrán copiar a este almacén.

9. (Opcional) Configure la clave de cifrado.

   Especifica la clave que quieres usar con tu bóveda. Puedes elegir una AWS clave propia (gestionada por AWS Backup) o introducir el ARN de una clave gestionada por un cliente que, preferiblemente, pertenezca a otra cuenta a la que tengas acceso. AWS Backup recomienda usar una clave AWS propia.

10. (Opcional) Agregue etiquetas que le ayuden a buscar e identificar su almacén aislado lógicamente. Por ejemplo, podría añadir una etiqueta BackupType:Financial.

11. Seleccione Crear almacén.

12. Revise la configuración. Si todos los ajustes se muestran como esperaba, seleccione Crear almacén aislado lógicamente.

13. La consola le llevará a la página de detalles del nuevo almacén. Compruebe que los detalles del almacén son los esperados.

14. Seleccione Almacenes para ver los almacenes de su cuenta. Aparecerá su almacén aislado lógicamente. La clave de KMS estará disponible aproximadamente entre 1 y 3 minutos después de la creación del almacén. Actualice la página para ver la clave asociada. Una vez que la clave esté visible, el almacén estará disponible y se podrá utilizar.

AWS CLI

Crear un almacén aislado lógicamente desde CLI

Se puede utilizar AWS CLI para llevar a cabo operaciones de forma programática en bóvedas aisladas de forma lógica. Cada CLI es específica del servicio en el que se origina. AWS Los comandos relacionados con el uso compartido llevan el prefijo aws ram; todos los demás comandos deben llevar el prefijo aws backup.

Utilice el comando de CLI create-logically-air-gapped-backup-vault modificado con los parámetros siguientes:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1 // optional
--backup-vault-name sampleName // required
--min-retention-days 7 // required Value must be an integer 7 or greater
--max-retention-days 35 // required
--encryption-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012 // optional
--creator-request-id 123456789012-34567-8901 // optional

El --encryption-key-arn parámetro opcional le permite especificar una clave de KMS administrada por el cliente para el cifrado del almacén. Si no se proporciona, el almacén utilizará una clave propia AWS.

Ejemplo de comando de CLI para crear un almacén aislado lógicamente:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--creator-request-id 123456789012-34567-8901 // optional

Ejemplo de comando de la CLI para crear una bóveda aislada de forma lógica con cifrado administrado por el cliente:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--encryption-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012
--creator-request-id 123456789012-34567-8901 // optional

Consulte los elementos CreateLogicallyAirGappedBackupVault de respuesta de la API para obtener información después de la operación de creación. Si la operación se realizó correctamente, la nueva bóveda separada lógicamente tendrá el de. VaultState CREATING

Una vez que se complete la creación y se haya asignado la clave cifrada de KMS, se VaultState realizará la transición a. AVAILABLE Cuando esté disponible, se podrá utilizar el almacén. VaultState se puede recuperar llamando a DescribeBackupVault o ListBackupVaults.

Visualización de los detalles del almacén aislado lógicamente

Puede ver los detalles del almacén, como el resumen, los puntos de recuperación, los recursos protegidos, las cuentas compartidas, la política de acceso y las etiquetas, a través de la AWS Backup consola o la AWS Backup CLI.

Console

1. Abra la AWS Backup consola en https://console.aws.amazon.com/backup.

2. En el panel de navegación izquierdo, seleccione Almacenes.

3. Debajo de las descripciones de los almacenes habrá tres listas: los depósitos creados por esta cuenta, los depósitos compartidos mediante la memoria RAM y los depósitos a los que se puede acceder mediante aprobación. Multi-party Seleccione la pestaña que desee para ver los almacenes.

4. En Nombre del almacén , haga clic en el nombre del almacén para abrir la página de detalles. Puede ver el resumen, los puntos de recuperación, los recursos protegidos, las cuentas compartidas, la política de acceso y los detalles de las etiquetas.

   Los detalles mostrados dependen del tipo de cuenta: las cuentas que poseen un almacén pueden ver las cuentas compartidas; las cuentas que no poseen un almacén no podrán ver las cuentas compartidas. En el caso de los almacenes compartidos, el tipo de clave de cifrado (clave KMS propia o AWS gestionada por el cliente) se muestra en el resumen del almacén.

AWS CLI

Visualización de detalles de un almacén aislado lógicamente mediante la CLI

El comando de CLI describe-backup-vault se puede utilizar para obtener detalles sobre un almacén. El parámetro backup-vault-name es obligatorio; region es opcional.

aws backup describe-backup-vault
--region us-east-1
--backup-vault-name testvaultname

Ejemplo de respuesta:

{
            "BackupVaultName": "LOG-AIR-GAP-VAULT-TEST",
            "BackupVaultArn": "arn:aws:backup:us-east-1:234567890123:backup-vault:IAD-LAGV-01",
            "VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
            "EncryptionKeyType": "AWS_OWNED_KMS_KEY",
            "CreationDate": "2024-07-25T16:05:23.554000-07:00",
            "NumberOfRecoveryPoints": 0,
            "Locked": true,
            "MinRetentionDays": 8,
            "MaxRetentionDays": 30,
            "LockDate": "2024-07-25T16:05:23.554000-07:00"
}

nota

El VaultType campo no se incluye en la respuesta de la API en las regiones en las que, lógicamente, no hay disponibles bóvedas aisladas.

Crear copias de seguridad en una bóveda aislada de forma lógica

Lógicamente, los almacenes aislados pueden ser el destino de un trabajo de copia en un plan de respaldo o un objetivo para un trabajo de copia bajo demanda. También se puede usar como destino principal de copias de seguridad. Consulte Copias de seguridad principales en bóvedas aisladas de forma lógica.

Cifrado compatible

Para completar un trabajo de copia correctamente desde un almacén de copias de seguridad a un almacén aislado lógicamente, es necesaria una clave de cifrado determinada por el tipo de recurso que se va a copiar.

Al crear o copiar una copia de seguridad de un tipo de recurso totalmente gestionado, el recurso de origen se puede cifrar mediante una clave gestionada por el cliente o mediante una clave gestionada. AWS

Al crear o copiar una copia de seguridad de otros tipos de recursos (los que no están totalmente gestionados), la fuente debe cifrarse con una clave gestionada por el cliente. AWS no se admiten las claves administradas para los recursos que no están completamente administrados.

Cree o copie copias de seguridad en una bóveda con espacio lógico mediante un plan de copias de seguridad

Puede copiar una copia de seguridad (punto de recuperación) de una bóveda de copia de seguridad estándar a una bóveda con espacio lógico. Para ello, cree un nuevo plan de copias de seguridad o actualice uno existente en la AWS Backup consola o mediante los comandos y. AWS CLI create-backup-plan update-backup-plan También puedes crear copias de seguridad directamente en una bóveda aislada de forma lógica utilizándola como objetivo principal. Consulta las copias de seguridad principales en bóvedas aisladas de forma lógica para obtener más información.

Puede copiar bajo demanda una copia de seguridad de un almacén aislado lógicamente a otro (este tipo de copia de seguridad no se puede programar en un plan de copias de seguridad). Puede copiar una copia de seguridad de un almacén aislado lógicamente a un almacén de copias de seguridad estándar siempre que la copia esté cifrada con una clave administrada por el cliente.

On-demand copia de seguridad en una bóveda aislada de forma lógica

Para crear una copia única y bajo demanda de una copia de seguridad en una bóveda con espacio lógico, puede copiarla desde una bóveda de respaldo estándar. Cross-Region o hay copias multicuenta disponibles si el tipo de recurso admite el tipo de copia.

Disponibilidad de copias

Se puede crear una copia de seguridad desde la cuenta a la que pertenece el almacén. Las cuentas con las que se ha compartido el almacén tienen la capacidad de ver o restaurar una copia de seguridad, pero no de crear una copia.

Solo se pueden incluir los tipos de recursos que admitan la copia entre regiones o entre cuentas.

Console

1. Abra la AWS Backup consola en. https://console.aws.amazon.com/backup

2. En el panel de navegación izquierdo, seleccione Almacenes.

3. En la página de detalles del almacén, se muestran todos los puntos de recuperación del almacén. Coloque una marca de verificación junto al punto de recuperación que desee copiar.

4. Seleccione Acciones y Editar en el menú desplegable.

5. En la siguiente pantalla, introduzca los detalles del destino.

   1. Especifique la región de destino.

   2. El menú desplegable del almacén de copias de seguridad de destino muestra los almacenes de destino elegibles. Seleccione uno con el tipo logically air-gapped vault

6. Seleccione Copiar una vez que todos los detalles estén configurados según sus preferencias.

En la página Trabajos de la consola, puede seleccionar Trabajos de copia para ver los trabajos de copia actuales.

AWS CLI

Utilice start-copy-job para copiar una copia de seguridad existente en almacén de copias de seguridad a un almacén aislado lógicamente.

Ejemplo de entrada de la CLI:

aws backup start-copy-job
--region us-east-1
--recovery-point-arn arn:aws:resourcetype:region::snapshot/snap-12345678901234567
--source-backup-vault-name sourcevaultname
--destination-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:destinationvaultname
--iam-role-arn arn:aws:iam::123456789012:role/service-role/servicerole

Para obtener más información, consulte Copiar una copia de seguridad, realizar copias de seguridad entre regiones y realizar copias Cross-account de seguridad.

Compartir un almacén aislado lógicamente

Puedes usar AWS Resource Access Manager (RAM) para compartir una bóveda aislada de forma lógica con otras cuentas que designes. Al compartir bóvedas, la información del tipo de clave de cifrado (clave KMS propia o AWS gestionada por el cliente) se conserva y es visible para las cuentas con las que se comparte la bóveda.

Un almacén solo se puede compartir con identificadores individuales. Cuenta de AWS Puedes compartirlo con una cuenta de tu organización o con una cuenta de otra organización. El almacén no se puede compartir con toda la organización ni con unidades organizativas (OU); solo se admiten los identificadores de cuentas individuales como principales de las acciones.

Solo las cuentas con determinados privilegios de IAM pueden compartir y administrar el uso compartido de almacenes.

Para compartir el uso AWS RAM, asegúrate de tener lo siguiente:

Console

1. Abra la AWS Backup consola en https://console.aws.amazon.com/backup.

2. En el panel de navegación izquierdo, seleccione Almacenes.

3. Debajo de las descripciones de los almacenes hay dos listas: Almacenes propiedad de esta cuenta y Almacenes compartidos con esta cuenta. Los almacenes propiedad de la cuenta son aptos para compartirse.

4. En Nombre del almacén , seleccione el nombre del almacén aislado lógicamente para abrir la página de detalles.

5. El panel de Uso compartido de cuentas muestra con qué cuentas se comparte el almacén.

6. Para empezar a compartir con otra cuenta o editar las cuentas que ya se comparten, seleccione Administrar el uso compartido.

7. La AWS RAM consola se abre cuando se selecciona Administrar uso compartido. Para ver los pasos para compartir un recurso mediante AWS RAM, consulte Creación de un recurso compartido en AWS RAM en la Guía del usuario de AWS RAM.

8. La cuenta invitada a aceptar una invitación para recibir un recurso compartido tiene 12 horas para aceptarla. Consulte Accepting and rejecting resource share invitations en la Guía del usuario de AWS RAM.

9. Si ha completado y aceptado los pasos para compartir, la página de resumen del almacén aparecerá en la sección Uso compartido de cuentas = “Compartido; consulte la tabla de cuentas compartidas que aparece a continuación”.

AWS CLI

AWS RAM usa el comando CLIcreate-resource-share. El acceso a este comando solo está disponible para cuentas con suficientes permisos. Consulte Creating a resource share in AWS RAM para ver los pasos de la CLI.

Los pasos 1 a 4 se llevan a cabo con la cuenta propietaria del almacén aislado lógicamente. Los pasos 5 a 8 se llevan a cabo con la cuenta con la que se compartirá el almacén aislado lógicamente.

1. Inicie sesión en la cuenta propietaria O solicite que complete estos pasos un usuario de su organización con suficientes credenciales para acceder a la cuenta de origen.

   1. Si antes se había creado un recurso compartido y desea agregarle un recurso adicional, utilice, en cambio, la CLI associate-resource-share con el ARN del nuevo almacén.

2. Obtenga las credenciales de un rol con permisos suficientes para compartir a través de RAM. Introdúzcalos en la CLI.

   1. El permiso ram:CreateResourceShare es necesario para realizar este procedimiento. La política AWSResourceAccessManagerFullAccess contiene todos los RAM-related permisos.

3. Elija create-resource-share.

   1. Incluya el ARN del almacén aislado lógicamente.

   2. Ejemplo de entrada:

      aws ram create-resource-share
      --name MyLogicallyAirGappedVault
      --resource-arns arn:aws:backup:us-east-1:123456789012:backup-vault:test-vault-1
      --principals 123456789012
      --region us-east-1

   3. Ejemplo de salida:

      {
         "resourceShare":{
            "resourceShareArn":"arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543",
            "name":"MyLogicallyAirGappedVault",
            "owningAccountId":"123456789012",
            "allowExternalPrincipals":true,
            "status":"ACTIVE",
            "creationTime":"2021-09-14T20:42:40.266000-07:00",
            "lastUpdatedTime":"2021-09-14T20:42:40.266000-07:00"
         }
      }

4. Copie el ARN del recurso compartido en el resultado (lo que es necesario para los pasos siguientes). Entregue el ARN al operador de la cuenta a la que invita a recibir el uso compartido.

5. Obtenga el ARN del recurso compartido.

   1. Si no realizó los pasos 1 a 4, obtenga el recurso ShareArn de quien lo haya hecho.

   2. Ejemplo: arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543

6. En la CLI, asuma las credenciales de la cuenta del destinatario.

7. Obtenga una invitación para compartir recursos con get-resource-share-invitations. Para obtener más información, consulte Accepting and rejecting invitations en la Guía del usuario de AWS RAM .

8. Acepte la invitación en la cuenta de destino (recuperación).

   1. Use accept-resource-share-invitation (también puede reject-resource-share-invitation).

Puede usar los comandos de la AWS RAM CLI para ver los elementos compartidos:

• Recursos que ha compartido:

  aws ram list-resources --resource-owner SELF --resource-type backup:backup-vault --region us-east-1

• Mostrar la entidad principal:

  aws ram get-resource-share-associations --association-type PRINCIPAL --region us-east-1

• Recursos compartidos por otras cuentas:

  aws ram list-resources --resource-owner OTHER-ACCOUNTS --resource-type backup:backup-vault --region us-east-1

Restauración de una copia de seguridad desde un almacén aislado lógicamente

Puede restaurar una copia de seguridad almacenada en un almacén aislado lógicamente desde la cuenta propietaria del almacén o desde cualquier cuenta con la que se comparta el almacén.

Consulte Restauración de una copia de seguridad para obtener información sobre cómo restaurar un punto de recuperación mediante la consola AWS Backup .

Una vez que se haya compartido una copia de seguridad desde un almacén aislado lógicamente con su cuenta, podrá utilizar start-restore-job para restaurarla.

Un ejemplo de entrada de la CLI puede incluir el comando y los parámetros siguientes:

aws backup start-restore-job
--recovery-point-arn arn:aws:backup:us-east-1:accountnumber:recovery-point:RecoveryPointID
--metadata {\"availabilityzone\":\"us-east-1d\"}
--idempotency-token TokenNumber
--resource-type ResourceType
--iam-role arn:aws:iam::number:role/service-role/servicerole
--region us-east-1

Eliminar un almacén aislado lógicamente

Consulte Eliminación de un almacén. Los almacenes no se pueden eliminar si aún contienen copias de seguridad (puntos de recuperación). Asegúrese de que el almacén esté vacío antes de iniciar una operación de eliminación.

Al eliminar un almacén, también se elimina la clave asociada al almacén siete días después de su eliminación, de acuerdo con la política de eliminación de claves.

El siguiente comando de la CLI de ejemplo, delete-backup-vault, se puede utilizar para eliminar un almacén.

aws backup delete-backup-vault
--region us-east-1 
--backup-vault-name testvaultname

Opciones de programación adicionales para almacenes aislados lógicamente

El comando de la CLI list-backup-vaults se puede modificar para enumerar todos los almacenes que pertenecen a la cuenta y están presentes en ella:

aws backup list-backup-vaults
--region us-east-1

Para enumerar solo los almacenes aislados lógicamente, agregue el parámetro

--by-vault-type LOGICALLY_AIR_GAPPED_BACKUP_VAULT

Incluya el parámetro by-shared para filtrar la lista de almacenes devuelta para mostrar solo los almacenes aislados lógicamente compartidos. La respuesta incluirá la información del tipo de clave de cifrado para cada almacén compartido.

aws backup list-backup-vaults
--region us-east-1
--by-shared

Ejemplo de respuesta que muestra información sobre el tipo de clave de cifrado:

{
    "BackupVaultList": [
        {
            "BackupVaultName": "shared-logically air-gapped-vault",
            "BackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:shared-logically air-gapped-vault",
            "VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
            "EncryptionKeyType": "AWS_OWNED_KMS_KEY",
            "CreationDate": "2024-07-25T16:05:23.554000-07:00",
            "Locked": true,
            "MinRetentionDays": 7,
            "MaxRetentionDays": 30
        }
    ]
}

Descripción de los tipos de claves de cifrado para las bóvedas con espacio lógico

Lógicamente, las bóvedas aisladas admiten diferentes tipos de claves de cifrado, y esta información es visible a través de las API y la consola. AWS Backup Cuando los almacenes se comparten a través AWS RAM de MPA, la información del tipo de clave de cifrado se conserva y se hace visible para las cuentas con las que se comparte el almacén. Esta transparencia le ayuda a comprender la configuración de cifrado de las bóvedas y a tomar decisiones informadas sobre las operaciones de copia de seguridad y restauración.

Valores del tipo de clave de cifrado

El EncryptionKeyType campo puede tener los valores siguientes:

Política clave para la creación de bóvedas con espacio cerrado de forma lógica y cifrada con CMK

Al crear una bóveda aislada de forma lógica con una clave gestionada por el cliente, debes aplicar la política de gestión a la AWS función de tu cuenta. AWSBackupFullAccess Esta política incluye Allow acciones que permiten interactuar con AWS Backup las claves de KMS AWS KMS para crear subvenciones durante las operaciones de respaldo, copia y almacenamiento. Además, debes asegurarte de que tu política de claves administradas por el cliente (si se usa) incluya los permisos específicos requeridos.

{  
    "Sid": "Allow use of the key to create a logically air-gapped vault",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[account-id]:role/TheRoleToAccessAccount"  
    },  
    "Action": [  
        "kms:CreateGrant",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*",  
   "Condition": {  
        "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
        }  
   }  
}

Política clave para copy/restore

Para evitar errores en los trabajos, revisa tu política de AWS KMS claves para asegurarte de que incluye todos los permisos necesarios y no contiene ninguna declaración de denegación que pueda bloquear las operaciones. Se aplican las siguientes condiciones:

{  
    "Sid": "Allow use of the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole"      //[Source copy role]          
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*",  
   "Condition": {  
         "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
         }  
   }  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Source copy role]   
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        },  
        "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
        }  
    }  
}

{  
    "Sid": "Allow use of the key for copy from a CMK encrypted logically air-gapped vault to normal backup vault",
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole",      //[Source copy role]  
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]    
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*"  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
          "AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole",      //[Source copy role]  
                  "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]   
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        }  
    }  
}

{  
    "Sid": "Allow use of the key for copy/restore from a recovery account",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole", //[Recovery account copy/restore role]
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"] //[Destination SLR]    
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*"  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Recovery account copy/restore role]    
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]  
                  
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        }  
    }  
}

IAM Role

Al realizar operaciones de copia de bóvedas aisladas de forma lógica, los clientes pueden utilizar la política que incluye la AWSBackupDefaultServiceRole política gestionada. AWSAWSBackupServiceRolePolicyForBackup Sin embargo, si los clientes prefieren implementar un enfoque de política de privilegios mínimos, su política de IAM debe incluir un requisito específico:

{  
    "Version": "2012-10-17",  
    "Statement": [  
         {  
            "Sid": "KMSPermissions",  
            "Effect": "Allow",  
            "Action": "kms:DescribeKey",  
            "Resource": [  
                "arn:aws:kms:*:[source-account-id]:key/*",  - Source logically air-gapped vault CMK -   
                "arn:aws:kms:*:[destination-account-id]:key/*".  - Destination logically air-gapped vault CMK -   
            ]  
        },  
        {  
            "Sid": "KMSCreateGrantPermissions",  
            "Effect": "Allow",  
            "Action": "kms:CreateGrant",  
            "Resource": [  
                "arn:aws:kms:*:[source-account-id]:key/*",  - Source logically air-gapped vault CMK -   
                "arn:aws:kms:*:[destination-account-id]:key/*".  - Destination logically air-gapped vault CMK -   
            ]  
            "Condition": {  
                "Bool": {  
                    "kms:GrantIsForAWSResource": "true"  
                }  
            }  
        },  
    ]  
}

Por lo tanto, uno de los errores más comunes de los clientes se produce durante la copia cuando los clientes no proporcionan los permisos suficientes para sus CMK y funciones de copia.

Visualización de los tipos de claves de cifrado

Puede ver la información del tipo de clave de cifrado tanto a través de la AWS Backup consola como mediante programación mediante los SDK AWS CLI o los SDK.

Consola: al ver los almacenes separados de forma lógica en la AWS Backup consola, el tipo de clave de cifrado aparece en la página de detalles del almacén, en la sección de información de seguridad.

AWS CLI/API: Al consultar bóvedas aisladas de forma lógica, se devuelve el tipo de clave de cifrado en respuesta a las siguientes operaciones:

Consideraciones sobre el cifrado de almacenes

Cuando trabaje con bóvedas y tipos de claves de cifrado con separación lógica, tenga en cuenta lo siguiente:

Uso de la clave propiedad del servicio

AWS Backup crea y administra las claves de cifrado que se utilizan para cifrar todos los datos de respaldo almacenados en bóvedas con espacio lógico, a fin de proteger y evitar la pérdida de acceso a la clave de cifrado durante un evento de pérdida de datos.

Consulta la documentación para obtener más información. AWS KMS

Consideraciones para la corrección automática de seguridad

Cuando AWS Backup copia una copia de seguridad de EC2 (AMI) en una bóveda aislada de forma lógica, la concede temporalmente launchPermission (en la AMI) y createVolumePermission (en las instantáneas de EBS asociadas) a una cuenta propiedad del servicio. Estos permisos se revocan automáticamente una vez finalizada la copia.

Estas operaciones generan ModifyImageAttribute ModifySnapshotAttribute eventos en sus AWS CloudTrail registros, con el valor userIdentity.invokedBy establecido en. backup.amazonaws.com

Si tienes una lógica de corrección automática de seguridad (por ejemplo, EventBridge las reglas de Amazon con AWS Lambda) que monitoriza estos eventos y revoca el uso compartido entre cuentas, debes excluir los eventos allí donde esté. userIdentity.invokedBy backup.amazonaws.com De lo contrario, al copiar tareas a bóvedas con espacio lógico, se producirá un error con el siguiente texto: «No tienes permiso para acceder al almacenamiento de esta AMI».

Esta exclusión es segura porque la copia está autorizada por sus políticas de acceso al almacén (backup:CopyFromBackupVaulten el almacén de origen y backup:CopyIntoBackupVault en el almacén de destino), que se evalúan antes de que se produzca cualquier modificación en los atributos de EC2. Los permisos temporales solo se conceden a una cuenta fija AWS propiedad de un servicio y se revocan automáticamente una vez finalizada la copia.

Ejemplo de patrón de eventos de EventBridge reglas que excluye las operaciones: AWS Backup

{
  "source": ["aws.ec2"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["ec2.amazonaws.com"],
    "eventName": ["ModifySnapshotAttribute", "ModifyImageAttribute"],
    "userIdentity": {
      "invokedBy": [{"anything-but": "backup.amazonaws.com"}]
    }
  }
}

Solución de un problema de almacén aislado lógicamente

Si encuentra errores durante su flujo de trabajo, consulte los siguientes ejemplos de errores y soluciones sugeridas:

El trabajo de copia de la AMI de EC2 a un almacén con un espacio lógico aislado falla y se produce un error de permiso

Error: Copy job fails with "You do not have permission to access the storage of this ami."

Causa posible: durante un trabajo de copia de la AMI de EC2 a un almacén con espacio lógico, concede AWS Backup temporalmente el permiso de lanzamiento (AMI) y el permiso de creación de volúmenes (instantánea de EBS) a una cuenta propiedad del servicio, lo que genera eventos en sus registros. ModifyImageAttribute ModifySnapshotAttribute AWS CloudTrail Si tiene una lógica de corrección automática de seguridad (como EventBridge las reglas de Lambda) que supervise estos eventos y revoque automáticamente los permisos de uso compartido entre cuentas, puede eliminar el acceso temporal antes de que finalice la copia.

Solución: actualice el patrón de eventos de la EventBridge regla para excluir las operaciones realizadas por AWS Backup. En concreto, excluya los eventos backup.amazonaws.com para garantizar que su lógica de corrección automática no revoque los permisos temporales entre cuentas que se AWS Backup conceden durante el proceso de copia. userIdentity.invokedBy

AccessDeniedException

Error: An error occured (AccessDeniedException) when calling the [command] operation: Insufficient privileges to perform this action."

Causa posible: el parámetro --backup-vault-account-id no se incluyó cuando se ejecutó una de las siguientes solicitudes en un almacén compartido por la RAM:

Solución: vuelva a probar el comando que devolvió el error, pero incluya el parámetro --backup-vault-account-id que especifica la cuenta propietaria del almacén.

OperationNotPermittedException

Error: OperationNotPermittedException se devuelve tras una llamada de CreateResourceShare.

Causa posible: si ha intentado compartir un recurso, como un almacén aislado lógicamente, con otra organización, es posible que reciba esta excepción. Un almacén se puede compartir con una cuenta de otra organización, pero no se puede compartir con la otra organización en sí.

Solución: vuelva a probar la operación, pero especifique una cuenta como valor principals en lugar de una organización o unidad organizativa.

No se muestra el tipo de clave de cifrado

Problema: el tipo de clave de cifrado no está visible al ver una bóveda aislada de forma lógica o sus puntos de recuperación.

Causas posibles:

Solución:

«FALLÓ» VaultState con AccessDeniedException los registros CloudTrail

Error en CloudTrail: "User: <assumed role> is not authorized to perform: kms:CreateGrant on this resource because the resource does not exist in this Region, no resource-based policies allow access, or a resource-based policy explicitly denies access"

Causas posibles:

Solución:

No se puede eliminar el acceso al almacén de respaldo que se encuentra en estado «FALLIDO»

Error: una bóveda de copia de seguridad para restaurar el acceso está atascada en estado FALLIDO. RevokeRestoreAccessBackupVaultdevuelve un error que requiere que el almacén esté en estado DISPONIBLE y, a continuación, CreateRestoreAccessBackupVault devuelveLimitExceededException.

Causas posibles:

Solución: llame DeleteBackupVault desde la cuenta de recuperación para eliminar la bóveda de respaldo con acceso de restauración fallida. RevokeRestoreAccessBackupVaultse aplica solo a los almacenes en estado DISPONIBLE. Vault Lock no impide esta eliminación, ya que una bóveda de respaldo para restaurar el acceso es una vista de la bóveda subyacente, separada de forma lógica, y no contiene puntos de recuperación propios. Tras la eliminación, corrija la política de claves de KMS y añada el mpa:StartSession permiso antes de volver a crear el almacén.