Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWS Backup Bloqueo de almacenes

AWS Backup Vault Lock está disponible sin costo adicional. Los cargos AWS Backup de almacenamiento estándar se aplican a las copias de seguridad almacenadas en un almacén cerrado con llave. Dado que las copias de seguridad de un almacén cerrado no se pueden eliminar hasta que finalice su ciclo de vida, asegúrese de que los ajustes de retención estén configurados de forma adecuada para evitar costes de almacenamiento imprevistos. Para obtener más información sobre los precios del almacenamiento, consulta AWS Backup los precios.

AWS Backup Vault Lock es una función opcional de las bóvedas de respaldo, que puede resultar útil para brindarle seguridad y control adicionales sobre sus bóvedas de respaldo. Cuando un bloqueo está activo en el modo de cumplimiento y se ha agotado el periodo de gracia, ningún cliente, account/data propietario ni propietario podrá modificar ni eliminar la configuración del almacén AWS mientras contenga puntos de recuperación. Cada almacén puede tener implementado un bloqueo de almacén.

AWS Backup garantiza que sus copias de seguridad estén disponibles para usted hasta que venzan los períodos de retención del ciclo de vida de las copias de seguridad. Estos períodos de retención se definen cuando se crea cada copia de seguridad y son independientes de la configuración de retención mínima y máxima de Vault Lock. Si algún usuario (incluido el usuario raíz) intenta eliminar una copia de seguridad o cambiar las propiedades del ciclo de vida de un almacén bloqueado, AWS Backup denegará la operación.

Modos de bloqueo del almacén

Al crear un bloqueo de almacén, puede elegir entre dos modos: el modo de gobernanza o el modo de cumplimiento. El modo de gobernanza está diseñado para permitir que solo usuarios con suficientes privilegios de IAM administren el almacén. El modo de gobernanza ayuda a una organización a cumplir los requisitos de gobernanza, ya que garantiza que solo el personal designado pueda hacer cambios en un almacén de copias de seguridad. El modo de cumplimiento está pensado para almacenes de copias de seguridad en los que se espera que el almacén (y, por extensión, su contenido) no se vaya a eliminar ni modificar nunca hasta que se complete el periodo de retención de datos. Una vez que un almacén en modo de conformidad está bloqueado, es inmutable, lo que significa que el bloqueo no se puede eliminar (el propio almacén se puede eliminar si está vacío y no contiene ningún punto de recuperación).

Los usuarios que dispongan de los permisos de IAM adecuados pueden administrar o eliminar un almacén bloqueado en modo gobernanza.

Un bloqueo de almacén en modo de cumplimiento no puede ser modificado ni eliminado por ningún usuario ni por AWS. Un almacén bloqueado en modo de cumplimiento tiene un periodo de gracia que se establece antes de que se bloquee y los contenidos del almacén pasan a ser inmutables.

Ventajas del bloqueo de almacenes

AWS Backup Vault Lock ofrece varios beneficios, entre los que se incluyen:

Bloqueo de un almacén de copias de seguridad mediante la consola

Puedes añadir un bloqueo a tu AWS Backup almacén mediante la consola de respaldo.

Si los pasos se han completado correctamente, aparecerá un banner en la parte superior de la consola que indica que el proceso se ha realizado correctamente.

Bloqueo de un almacén de copias de seguridad mediante programación

Para configurar AWS Backup Vault Lock, usa la API. PutBackupVaultLockConfiguration Los parámetros que se incluyan dependerán del modo de bloqueo de almacén que desee utilizar. Si desea crear un bloqueo de almacén en modo de gobernanza, no incluya ChangeableForDays. Si incluye este parámetro, el bloqueo del almacén se creará en modo de cumplimiento.

Este es una CLI de ejemplo de creación de un bloqueo de almacén en modo de cumplimiento:

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

Este es una CLI de ejemplo de creación de un bloqueo de almacén en modo de gobernanza:

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

Puede configurar cuatro opciones.

Revisa una bóveda de respaldo para ver si AWS Backup Configuración de Vault Lock

Puedes revisar los detalles de AWS Backup Vault Lock en un almacén en cualquier momento mediante llamadas DescribeBackupVault o mediante ListBackupVaults las API.

Para determinar si ha aplicado un bloqueo de almacén a un almacén de copias de seguridad, llama a DescribeBackupVault y comprueba la propiedad Locked. Si"Locked": true, como en el ejemplo siguiente, has aplicado AWS Backup Vault Lock a tu bóveda de respaldo.

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

El resultado anterior confirma las opciones siguientes:

Si "Locked":false, como en el ejemplo siguiente, no ha aplicado un bloqueo de almacén (o se ha eliminado uno anterior).

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

Eliminación del bloqueo del almacén durante el periodo de gracia (modo de cumplimiento)

Para eliminar el bloqueo de tu bóveda durante el tiempo de gracia (el tiempo que pasa después de cerrar la bóveda pero antes de que lo hagasLockDate) usando la AWS Backup consola,

Cuando todos los pasos se hayan completado correctamente, aparecerá un banner en la parte superior de la pantalla de la consola que indica que el proceso se ha realizado correctamente.

Para eliminar el bloqueo del almacén durante el periodo de gracia mediante un comando de la CLI, utilice DeleteBackupVaultLockConfiguration como en este ejemplo de CLI:

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

Cuenta de AWS cierre con bóveda cerrada

Cuando cierras un almacén Cuenta de AWS que contiene copias de seguridad AWS y AWS Backup suspendes tu cuenta durante 90 días con las copias de seguridad intactas. Si no vuelves a abrir tu cuenta durante esos 90 días, AWS borra el contenido de tu bóveda de respaldo, incluso aunque AWS Backup Vault Lock estuviera activado.

Consideraciones adicionales de seguridad

AWS Backup Vault Lock añade una capa adicional de seguridad a tu defensa de protección de datos en profundidad. El bloqueo de almacenes se puede combinar con estas otras características de seguridad: