AWS Backup Vault Lock

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWS Backup Vault Lock es una función opcional de las bóvedas de respaldo, que puede resultar útil para proporcionarle seguridad y control adicionales sobre las bóvedas de respaldo. Cuando hay un bloqueo activo en el modo de cumplimiento y finaliza el periodo de gracia, ni el cliente ni el propietario de la cuenta o los datos ni AWS pueden modificar ni eliminar la configuración del almacén mientras contenga puntos de recuperación. Cada almacén puede tener implementado un bloqueo de almacén.

AWS Backup garantiza que sus copias de seguridad estén disponibles para usted hasta que venzan sus períodos de retención. Si algún usuario (incluido el usuario root) intenta eliminar una copia de seguridad o cambiar las propiedades del ciclo de vida de un almacén bloqueado, AWS Backup denegará la operación.

Modos de bloqueo del almacén

Al crear un bloqueo de almacén, puede elegir entre dos modos: el modo de gobernanza o el modo de cumplimiento. El modo de gobernanza está diseñado para permitir que solo usuarios con suficientes privilegios de IAM administren el almacén. El modo de gobernanza ayuda a una organización a cumplir los requisitos de gobernanza, ya que garantiza que solo el personal designado pueda hacer cambios en un almacén de copias de seguridad. El modo de cumplimiento está pensado para almacenes de copias de seguridad en los que se espera que el almacén (y, por extensión, su contenido) no se vaya a eliminar ni modificar nunca hasta que se complete el periodo de retención de datos. Una vez que un almacén en modo de conformidad está bloqueado, es inmutable, lo que significa que el bloqueo no se puede eliminar (el propio almacén se puede eliminar si está vacío y no contiene ningún punto de recuperación).

Los usuarios que dispongan de los permisos de IAM adecuados pueden administrar o eliminar un almacén bloqueado en modo gobernanza.

Un bloqueo de almacén en modo de cumplimiento no puede ser modificado ni eliminado por ningún usuario ni por AWS. Un almacén bloqueado en modo de cumplimiento tiene un periodo de gracia que se establece antes de que se bloquee y los contenidos del almacén pasan a ser inmutables.

Ventajas del bloqueo de almacenes

AWS Backup Vault Lock ofrece varias ventajas, entre las que se incluyen las siguientes:

Bloqueo de un almacén de copias de seguridad mediante la consola

Puede añadir un candado de bóveda a su AWS Backup bóveda mediante la consola Backup.

Si los pasos se han completado correctamente, aparecerá un banner en la parte superior de la consola que indica que el proceso se ha realizado correctamente.

Bloqueo de un almacén de copias de seguridad mediante programación

Para configurar AWS Backup Vault Lock, utilice la APIPutBackupVaultLockConfiguration. Los parámetros que se incluyan dependerán del modo de bloqueo de almacén que desee utilizar. Si desea crear un bloqueo de almacén en modo de gobernanza, no incluya ChangeableForDays. Si incluye este parámetro, el bloqueo del almacén se creará en modo de cumplimiento.

Este es una CLI de ejemplo de creación de un bloqueo de almacén en modo de cumplimiento:

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

Este es una CLI de ejemplo de creación de un bloqueo de almacén en modo de gobernanza:

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

Puede configurar cuatro opciones.

Revise la configuración de Vault Lock de una AWS Backup bóveda de respaldo

Puede revisar los detalles de AWS Backup Vault Lock de una bóveda en cualquier momento llamando DescribeBackupVault o ListBackupVaults APIs.

Para determinar si ha aplicado un bloqueo de almacén a un almacén de copias de seguridad, llama a DescribeBackupVault y comprueba la propiedad Locked. Si"Locked": true, como en el ejemplo siguiente, ha aplicado AWS Backup Vault Lock a su bóveda de respaldo.

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

El resultado anterior confirma las opciones siguientes:

Si "Locked":false, como en el ejemplo siguiente, no ha aplicado un bloqueo de almacén (o se ha eliminado uno anterior).

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

Eliminación del bloqueo del almacén durante el periodo de gracia (modo de cumplimiento)

Para eliminar el bloqueo del almacén durante el tiempo de gracia (es decir, después de bloquear el depósito pero antes del tuyoLockDate) mediante la AWS Backup consola,

Cuando todos los pasos se hayan completado correctamente, aparecerá un banner en la parte superior de la pantalla de la consola que indica que el proceso se ha realizado correctamente.

Para eliminar el bloqueo del almacén durante el periodo de gracia mediante un comando de la CLI, utilice DeleteBackupVaultLockConfiguration como en este ejemplo de CLI:

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

Cuenta de AWS cierre con una bóveda cerrada

Cuando cierras una Cuenta de AWS que contiene una bóveda de copias de seguridad AWS y AWS Backup suspendes tu cuenta durante 90 días con las copias de seguridad intactas. Si no vuelves a abrir tu cuenta durante esos 90 días, AWS borra el contenido del almacén de copias de seguridad, incluso si AWS Backup Vault Lock estaba activado.

Consideraciones adicionales de seguridad

AWS Backup Vault Lock añade un nivel adicional de seguridad a tu defensa en profundidad en materia de protección de datos. El bloqueo de almacenes se puede combinar con estas otras características de seguridad: