Bloqueo de almacenes de AWS Backup

El Bloqueo de almacenes de AWS Backup es una característica opcional de los almacenes de copia de seguridad, que puede resultar útil para proporcionarle seguridad y control adicionales sobre los almacenes de copia de seguridad. Cuando hay un bloqueo activo en el modo de cumplimiento y finaliza el periodo de gracia, ni el cliente ni el propietario de la cuenta o los datos ni AWS pueden modificar ni eliminar la configuración del almacén mientras contenga puntos de recuperación. Cada almacén puede tener implementado un bloqueo de almacén.

AWS Backup garantiza que las copias de seguridad estén a su disposición hasta que venzan sus periodos de retención. Si algún usuario (incluido el usuario raíz) intenta eliminar una copia de seguridad o cambiar las propiedades del ciclo de vida de un almacén bloqueado, AWS Backup denegará la operación.

Modos de bloqueo del almacén

Al crear un bloqueo de almacén, puede elegir entre dos modos: el modo de gobernanza o el modo de cumplimiento. El modo de gobernanza está diseñado para permitir que solo usuarios con suficientes privilegios de IAM administren el almacén. El modo de gobernanza ayuda a una organización a cumplir los requisitos de gobernanza, ya que garantiza que solo el personal designado pueda hacer cambios en un almacén de copias de seguridad. El modo de cumplimiento está pensado para almacenes de copias de seguridad en los que se espera que el almacén (y, por extensión, su contenido) no se vaya a eliminar ni modificar nunca hasta que se complete el periodo de retención de datos. Una vez que un almacén en modo de conformidad está bloqueado, es inmutable, lo que significa que el bloqueo no se puede eliminar (el propio almacén se puede eliminar si está vacío y no contiene ningún punto de recuperación).

Los usuarios que dispongan de los permisos de IAM adecuados pueden administrar o eliminar un almacén bloqueado en modo gobernanza.

Un bloqueo de almacén en modo de cumplimiento no puede ser modificado ni eliminado por ningún usuario ni por AWS. Un almacén bloqueado en modo de cumplimiento tiene un periodo de gracia que se establece antes de que se bloquee y los contenidos del almacén pasan a ser inmutables.

Ventajas del bloqueo de almacenes

El Bloqueo de almacenes de AWS Backup ofrece varias ventajas, entre las que se incluyen:

Bloqueo de un almacén de copias de seguridad mediante la consola

Puede agregar un bloqueo de almacén a su almacén de AWS Backup mediante la consola de Backup.

Si los pasos se han completado correctamente, aparecerá un banner en la parte superior de la consola que indica que el proceso se ha realizado correctamente.

Bloqueo de un almacén de copias de seguridad mediante programación

Para configurar el Bloqueo de almacenes de AWS Backup, utilice la API PutBackupVaultLockConfiguration. Los parámetros que se incluyan dependerán del modo de bloqueo de almacén que desee utilizar. Si desea crear un bloqueo de almacén en modo de gobernanza, no incluya ChangeableForDays. Si incluye este parámetro, el bloqueo del almacén se creará en modo de cumplimiento.

Este es una CLI de ejemplo de creación de un bloqueo de almacén en modo de cumplimiento:

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

Este es una CLI de ejemplo de creación de un bloqueo de almacén en modo de gobernanza:

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

Puede configurar cuatro opciones.

Revisión del almacén de copias de seguridad para su configuración del Bloqueo de almacenes de AWS Backup

Puede revisar los detalles del Bloqueo de almacenes de AWS Backup de un almacén en cualquier momento llamando a las API DescribeBackupVault o ListBackupVaults.

Para determinar si ha aplicado un bloqueo de almacén a un almacén de copias de seguridad, llama a DescribeBackupVault y comprueba la propiedad Locked. Si "Locked": true, como en el ejemplo siguiente, ha aplicado el Bloqueo de almacenes de AWS Backup a su almacén de copias de seguridad.

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

El resultado anterior confirma las opciones siguientes:

Si "Locked":false, como en el ejemplo siguiente, no ha aplicado un bloqueo de almacén (o se ha eliminado uno anterior).

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

Eliminación del bloqueo del almacén durante el periodo de gracia (modo de cumplimiento)

Para eliminar el bloqueo del almacén durante el periodo de gracia (es decir, después de bloquear el almacén, pero antes de la LockDate) mediante la consola de AWS Backup,

Cuando todos los pasos se hayan completado correctamente, aparecerá un banner en la parte superior de la pantalla de la consola que indica que el proceso se ha realizado correctamente.

Para eliminar el bloqueo del almacén durante el periodo de gracia mediante un comando de la CLI, utilice DeleteBackupVaultLockConfiguration como en este ejemplo de CLI:

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

Cierre de una Cuenta de AWS con un almacén bloqueado

Si cierra una Cuenta de AWS que contiene un almacén de copias de seguridad, AWS y AWS Backup suspenden su cuenta durante 90 días con las copias de seguridad intactas. Si no vuelve a abrir la cuenta durante esos 90 días, AWS borra el contenido del almacén de copias de seguridad, incluso si el Bloqueo de almacenes de AWS Backup estaba activado.

Consideraciones adicionales de seguridad

El Bloqueo de almacenes de AWS Backup agrega un nivel adicional de seguridad a su defensa en profundidad en materia de protección de datos. El bloqueo de almacenes se puede combinar con estas otras características de seguridad: