Automatización de copias instantáneas entre cuentas con Data Lifecycle Manager

Abre la AWS KMS consola en /kms. https://console.aws.amazon.com

Para cambiarla Región de AWS, usa el selector de regiones en la esquina superior derecha de la página.

En el panel de navegación, elija Customer managed key (Clave gestionadas por el cliente) y, a continuación, seleccione la clave de KMS que debe compartir con las cuentas de destino.

Tome nota del ARN de la Clave de KMS, lo necesitará más tarde.

En la pestaña Política de claves, desplácese hacia abajo hasta la sección Usuarios de claves. Elija Add (Agregar), escriba el nombre del rol de IAM seleccionado en el paso anterior y, a continuación, elija Add (Agregar).

En la pestaña Políticas de claves, desplácese hacia abajo hasta la sección Otras cuentas de AWS . Selecciona Añadir otras AWS cuentas y, a continuación, añade todas las AWS cuentas de destino con las que decidiste compartir las instantáneas en el paso anterior.

Elija Guardar cambios.

Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

En el panel de navegación, elija Elastic Block Store, Lifecycle Manager (Gestionador de ciclo de vida) y, a continuación, Create lifecycle policy (Crear política de ciclo de vida).

En la pantalla Select policy type (Seleccionar tipo de política), elija Cross-account copy event policy (Política de eventos de copias entre cuentas) y, luego, seleccione Next (Siguiente).

En Policy description (Descripción de la política), escriba una breve descripción de la política.

En Policy tags (Etiquetas de políticas), agregue las etiquetas que se aplicarán a la política de ciclo de vida. Puede utilizar estas etiquetas para identificar y clasificar las políticas.

En la sección Event settings (Configuración de eventos), defina el evento de uso compartido de instantáneas que provocará la ejecución de la política. Haga lo siguiente:

1. En el caso de las cuentas compartidas, especifique AWS las cuentas de origen desde las que desea copiar las instantáneas compartidas. Seleccione Añadir cuenta, introduzca el ID de AWS cuenta de 12 dígitos y, a continuación, seleccione Añadir.

2. En Filter by description (Filtrar por descripción), ingrese la descripción requerida de la instantánea con una expresión regular. La política copia solo las instantáneas compartidas por las cuentas de origen especificadas y que tienen descripciones que coinciden con el filtro especificado. Para obtener más información, consulte Especificar filtros de descripción de instantáneas.

En IAM rol (Rol de IAM), elija el rol de IAM que tenga permisos para realizar acciones de copia de instantáneas. Para utilizar el rol predeterminado proporcionado por Amazon Data Lifecycle Manager, elija Default role (Rol predeterminado). De forma alternativa, para usar un rol de IAM personalizado que haya creado anteriormente, elija Choose another role (Elegir otro rol) y, luego, seleccione el rol que va a utilizar.

Si copia instantáneas cifradas, debe conceder permisos al rol de IAM seleccionado para utilizar la Clave de KMS de cifrado usada con el fin de cifrar el volumen de origen. Del mismo modo, si cifra la instantánea en la región de destino mediante otra Clave de KMS, debe conceder permiso al rol de IAM para usar la Clave de KMS de destino. Para obtener más información, consulte Paso 4: permitir que el rol de IAM use la Claves de KMS requerida (cuenta de destino).

En la sección Copy action (Copiar acción), defina las acciones de copia de instantáneas que la política debe realizar cuando está activada. La política puede copiar instantáneas en hasta tres regiones. Debe especificar una regla de copia independiente para cada región de destino. Realice lo siguiente para cada regla que agregue:

1. En Name (Nombre), escriba un nombre descriptivo para la acción de copia.

2. En Target Region (Región de destino), seleccione la región en la que desea copiar las instantáneas.

3. En Expire (Vencimiento), especifique cuánto tiempo se retendrán las copias de instantáneas en la región de destino después de su creación.

4. Para cifrar la copia de la instantánea, en Encryption (Cifrado), seleccione Enable encryption (Habilitar cifrado). Si la instantánea fuente se encuentra cifrada o si el cifrado de forma predeterminada se encuentra habilitado para su cuenta, siempre se cifra la copia de instantánea, incluso si no habilita el cifrado aquí. Si la instantánea de origen no está cifrada y el cifrado de forma predeterminada no está habilitado para su cuenta, puede elegir habilitar o deshabilitar el cifrado. Si habilita el cifrado, pero no especifica una Clave de KMS, las instantáneas se cifran mediante la Clave de KMS de cifrado predeterminada en cada región de destino. Si especifica una Clave de KMS para la región de destino, debe tener acceso a la Clave de KMS.

Para agregar acciones adicionales de copia de instantáneas, elija Add new Regions (Agregar regiones nuevas).

Para Policy status after creation (Estado de la política después de su creación), elija Enable policy (Habilitar política) para iniciar las ejecuciones de la política a la siguiente hora programada o Disable policy (Deshabilitar política) para evitar que se ejecute la política. Si no habilita la política ahora, no se comenzarán a copiar instantáneas hasta que la habilite de forma manual después de la creación.

Elija Create Policy.

Abra la consola de IAM en https://console.aws.amazon.com/iam/.

En el panel de navegación, seleccione Roles (Roles). Busque y elija el rol de IAM que seleccionó al crear la política de eventos de copia entre cuentas en el paso anterior. Si opta por usar el rol predeterminado, el rol recibe un nombre AWSDataLifecycleManagerDefaultRole.

Elija Add inline policy (Agregar política en línea) y, a continuación, seleccione la pestaña JSON.

Sustituya la política existente por la siguiente y especifique el ARN de la clave de KMS que se utilizó para cifrar los volúmenes de origen y que la cuenta de origen compartió con usted en el paso 2.

En el ejemplo siguiente, la política concede permiso al rol de IAM para usar la Clave de KMS 1234abcd-12ab-34cd-56ef-1234567890ab, que fue compartida por la cuenta de origen 111111111111 y la Clave de KMS 4567dcba-23ab-34cd-56ef-0987654321yz, que existe en la cuenta de destino 222222222222.

 {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:RevokeGrant",
                "kms:CreateGrant",
                "kms:ListGrants"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111111111111:key/1234abcd-12ab-34cd-56ef-1234567890ab",
                "arn:aws:kms:us-east-1:222222222222:key/4567dcba-23ab-34cd-56ef-0987654321yz"		
            ],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111111111111:key/1234abcd-12ab-34cd-56ef-1234567890ab",
                "arn:aws:kms:us-east-1:222222222222:key/4567dcba-23ab-34cd-56ef-0987654321yz"
            ]
        }
    ]
}

Elija Review policy

En Name (Nombre), escriba un nombre descriptivo para la política y, a continuación, elija Create policy (Crear política).