Uso de roles para hacer copias de seguridad y copiar - AWS Backup
Permisos de roles vinculados a servicios de AWS BackupCreación de un rol vinculado a un servicio de AWS BackupModificación de un rol vinculado a servicios de AWS BackupEliminación de un rol vinculado a un servicio de AWS BackupRegiones admitidas para los roles vinculados a un servicio de AWS Backup

Uso de roles para hacer copias de seguridad y copiar

AWS Backup utiliza roles vinculados a servicios de AWS Identity and Access Management (IAM). Un rol vinculado a servicios es un tipo único de rol de IAM que está vinculado directamente a AWS Backup. Los roles vinculados a servicios están predefinidos por AWS Backup e incluyen todos los permisos que el servicio requiere para llamar a otros servicios de AWS en su nombre.

Con un rol vinculado a servicios, resulta más sencillo configurar AWS Backup, porque no es preciso agregar los permisos necesarios manualmente. AWS Backup define los permisos de los roles vinculados con su propio servicio y, a menos que esté definido de otra manera, solo AWS Backup puede asumir sus roles. Los permisos definidos incluyen las políticas de confianza y de permisos, y que la política de permisos no se pueda adjuntar a ninguna otra entidad de IAM.

Solo puede eliminar un rol vinculado a servicios después de eliminar sus recursos relacionados. De esta forma, se protegen los recursos de AWS Backup, ya que se evita que se puedan eliminar accidentalmente permisos de acceso a los recursos.

Para obtener información acerca de otros servicios que admiten roles vinculados a servicios, consulte Servicios de AWS que funcionan con IAM y busque los servicios que muestran Sí en la columna Rol vinculado a un servicio. Seleccione una opción Sí con un enlace para ver la documentación relativa al rol vinculado al servicio en cuestión.

Permisos de roles vinculados a servicios de AWS Backup

AWS Backup utiliza el rol vinculado al servicio denominado AWSServiceRoleForBackup. Proporciona permisos a AWS Backup para enumerar los recursos de los que puede hacer copias de seguridad y copiar las copias de seguridad.

AWS Backup también utiliza el rol para eliminar todas las copias de seguridad de todos los tipos de recursos, excepto Amazon EC2.

El rol vinculado al servicio AWSServiceRoleForBackup depende de los siguientes servicios para asumir el rol:

  • backup.amazonaws.com

Para ver los permisos de esta política, consulte AWSBackupServiceLinkedRolePolicyforBackup en la Referencia de la política administrada de AWS.

Debe configurar permisos para permitir a una entidad de IAM (como un usuario, grupo o rol) crear, editar o eliminar un rol vinculado a servicios. Para obtener más información, consulte Permisos de roles vinculados a servicios en la Guía del usuario de IAM.

Creación de un rol vinculado a un servicio de AWS Backup

No necesita crear manualmente un rol vinculado a servicios. Cuando enumera los recursos de los que desea realizar copias de seguridad, configurar una copia de seguridad entre cuentas o realizar copias de seguridad en la AWS Management Console, la AWS CLI o la API de AWS, AWS Backup crea el rol vincula al servicio automáticamente.

importante

Este rol vinculado a servicios puede aparecer en su cuenta si se ha completado una acción en otro servicio que utilice las características compatibles con este rol. Para obtener más información, consulte Un nuevo rol ha aparecido en mi cuenta de IAM.

Si elimina este rol vinculado a servicios y necesita crearlo de nuevo, puede utilizar el mismo proceso para volver a crear el rol en su cuenta. Cuando enumera los recursos de los que desea realizar copias de seguridad, configurar una copia de seguridad entre cuentas o realizar copias de seguridad, AWS Backup crea el rol vincula al servicio automáticamente.

Modificación de un rol vinculado a servicios de AWS Backup

AWS Backup no permite editar el rol vinculado al servicio AWSServiceRoleForBackup. Después de crear un rol vinculado al servicio, no podrá cambiar el nombre del rol, ya que varias entidades podrían hacer referencia al rol. Sin embargo, sí puede editar la descripción del rol con IAM. Para obtener más información, consulte Editar un rol vinculado a un servicio en la Guía del usuario de IAM..

Eliminación de un rol vinculado a un servicio de AWS Backup

Si ya no necesita usar una característica o servicio que requieran un rol vinculado a un servicio, le recomendamos que elimine dicho rol. De esta forma, no tiene una entidad no utilizada que no se monitoree ni mantenga de forma activa. Sin embargo, debe limpiar el rol vinculado a servicios antes de eliminarlo manualmente.

Limpiar un rol vinculado a servicios

Antes de que pueda utilizar IAM para eliminar un rol vinculado a servicios, primero debe eliminar los recursos que utiliza el rol. En primer lugar, debe eliminar todos los puntos de recuperación. Luego, debe eliminar todos sus almacenes de copias de seguridad.

nota

Si el servicio AWS Backup está utilizando el rol cuando intenta eliminar los recursos, la eliminación podría producir un error. En tal caso, espere unos minutos e intente de nuevo la operación.

Para eliminar los recursos de AWS Backup utilizados por AWSServiceRoleForBackup (consola)

  1. Para eliminar todos los puntos de recuperación y los almacenes de copias de seguridad (excepto el almacén predeterminado), siga el procedimiento que se describe en Eliminación de un almacén de copias de seguridad.

  2. Para eliminar el almacén predeterminado, utilice el siguiente comando en la AWS CLI:

    aws backup delete-backup-vault --backup-vault-name Default --region us-east-1
Para eliminar los recursos de AWS Backup utilizados por AWSServiceRoleForBackup (AWS CLI)

  1. Para eliminar todos los puntos de recuperación, utilice delete-recovery-point.

  2. Para eliminar todos los almacenes de copias de seguridad, utilice delete-backup-vault.

Para eliminar los recursos de AWS Backup utilizados por AWSServiceRoleForBackup (API)

  1. Para eliminar todos los puntos de recuperación, utilice DeleteRecoveryPoint.

  2. Para eliminar todos los almacenes de copias de seguridad, utilice DeleteBackupVault.

Eliminación manual de un rol vinculado a servicios

Utilice la consola de IAM, la AWS CLI o la API de AWS para eliminar el rol vinculado al servicio AWSServiceRoleForBackup. Para obtener más información, consulte Eliminación de un rol vinculado a servicios en la Guía del usuario de IAM.

Regiones admitidas para los roles vinculados a un servicio de AWS Backup

AWS Backup admite el uso de roles vinculados a servicios en todas las regiones en las que el servicio esté disponible. Para obtener más información, consulte Regiones y características compatibles con AWS Backup.