Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôle d’accès

Vous pouvez disposer d'informations d'identification valides pour authentifier vos demandes, mais si vous ne disposez pas des autorisations appropriées, vous ne pouvez pas accéder aux AWS Backup ressources telles que les coffres-forts de sauvegarde. Vous ne pouvez pas non plus sauvegarder AWS des ressources telles que les volumes Amazon Elastic Block Store (AmazonEBS).

Chaque AWS ressource appartient à un Compte AWS, et les autorisations de création ou d'accès à une ressource sont régies par des politiques d'autorisation. Un administrateur de compte peut associer des politiques d'autorisation à AWS Identity and Access Management (IAM) des identités (c'est-à-dire aux utilisateurs, aux groupes et aux rôles). Certains services prennent également en charge l'attachement de stratégies d'autorisation aux ressources.

Un administrateur de compte (ou utilisateur administrateur) est un utilisateur doté d'autorisations d'administrateur. Pour plus d'informations, consultez la section IAMBonnes pratiques du guide de IAM l'utilisateur.

Lorsque vous accordez des autorisations, vous décidez qui doit les obtenir, à quelles ressources ces autorisations s'appliquent et les actions spécifiques que vous souhaitez autoriser sur ces ressources.

Les sections suivantes expliquent le fonctionnement des stratégies d'accès et leur utilisation pour protéger vos sauvegardes.

Ressources et opérations

Une ressource est un objet qui existe au sein d'un service. AWS Backup les ressources incluent les plans de sauvegarde, les coffres-forts de sauvegarde et les sauvegardes. Backup est un terme général qui fait référence aux différents types de ressources de sauvegarde qui existent dans AWS. Par exemple, les EBS instantanés Amazon, les instantanés Amazon Relational Database Service (RDSAmazon) et les sauvegardes Amazon DynamoDB sont tous des types de ressources de sauvegarde.

Dans AWS Backup, les sauvegardes sont également appelées points de restauration. Lors de l'utilisation AWS Backup, vous travaillez également avec les ressources d'autres AWS services que vous essayez de protéger, tels que les EBS volumes Amazon ou les tables DynamoDB. Ces ressources sont associées à des noms de ressources Amazon (ARNs) uniques. ARNsidentifier les AWS ressources de manière unique. Vous devez disposer d'un ARN moment où vous devez spécifier une ressource sans ambiguïté dans l'ensemble AWS, par exemple dans les IAM politiques ou API les appels.

Le tableau suivant répertorie les ressources, les sous-ressources, le ARN format et un exemple d'identifiant unique.

Les ressources qui prennent en charge AWS Backup la gestion complète comportent toutes des points de récupération au formatarn:aws:backup:region:account-id::recovery-point:*, ce qui vous permet d'appliquer plus facilement des politiques d'autorisation pour protéger ces points de récupération. Pour savoir quelles ressources prennent en charge AWS Backup la gestion complète, consultez cette section du Disponibilité des fonctionnalités par ressource tableau.

AWS Backup fournit un ensemble d'opérations permettant de travailler avec AWS Backup les ressources. Pour obtenir la liste des opérations disponibles, consultez AWS Backup Actions.

Propriété des ressources

Il Compte AWS est propriétaire des ressources créées dans le compte, quelle que soit la personne qui les a créées. Plus précisément, le propriétaire Compte AWS de la ressource est l'entité principale (c'est-à-dire l'utilisateur Compte AWS root, un IAM utilisateur ou un IAM rôle) qui authentifie la demande de création de ressource. Les exemples suivants illustrent comment cela fonctionne :

Spécification des éléments d’une politique : actions, effets et principaux

Pour chaque AWS Backup ressource (voirRessources et opérations), le service définit un ensemble d'APIopérations (voirActions). Pour accorder des autorisations pour ces API opérations, AWS Backup définit un ensemble d'actions que vous pouvez spécifier dans une politique. L'exécution d'une API opération peut nécessiter des autorisations pour plusieurs actions.

Voici les éléments les plus élémentaires d'une politique :

Pour en savoir plus sur la syntaxe et les descriptions des IAM politiques, consultez la section Référence des IAM JSON politiques dans le guide de IAM l'utilisateur.

Pour un tableau présentant toutes les AWS Backup API actions, voirAPIautorisations : référence aux actions, aux ressources et aux conditions.

Spécification de conditions dans une politique

Lorsque vous accordez des autorisations, vous pouvez utiliser le langage de IAM politique pour spécifier les conditions dans lesquelles une politique doit entrer en vigueur. Par exemple, il est possible d’appliquer une politique après seulement une date spécifique. Pour plus d'informations sur la spécification de conditions dans un langage de politique, voir Condition dans le guide de IAM l'utilisateur.

AWS prend en charge les clés de condition globales et les clés de condition spécifiques au service. Pour voir toutes les clés de condition globales, voir les clés contextuelles de condition AWS globales dans le guide de IAM l'utilisateur.

AWS Backup définit son propre ensemble de clés de condition. Pour consulter la liste des clés de AWS Backup condition, voir Clés de condition pour AWS Backup la référence d'autorisation de service.

APIautorisations : référence aux actions, aux ressources et aux conditions

Lorsque vous configurez Contrôle d’accès et rédigez une politique d'autorisation que vous pouvez associer à une IAM identité (politiques basées sur l'identité), vous pouvez utiliser la de tableaux suivante comme référence. Le tableau chaque AWS Backup API opération, les actions correspondantes pour lesquelles vous pouvez accorder des autorisations pour effectuer l'action et la AWS ressource pour laquelle vous pouvez accorder les autorisations. Vous spécifiez les actions dans le champ Action de la politique ainsi que la valeur des ressources dans le champ Resource de la politique. Si le champ Resource est vide, vous pouvez utiliser le caractère générique (*) pour inclure toutes les ressources.

Vous pouvez utiliser des AWS clés de condition larges dans vos AWS Backup polices pour exprimer des conditions. Pour obtenir la liste complète des touches AWS-wide, consultez la section Clés disponibles dans le guide de IAM l'utilisateur.

Utilisez les barres de défilement pour voir le reste du tableau.

¹ Utilise la politique d'accès au coffre existante.

² Voir AWS Backup ressource ARNs pour le point de récupération spécifique à la ressource. ARNs

³ StartRestoreJob doit contenir la paire clé-valeur dans les métadonnées de la ressource. Pour obtenir les métadonnées de la ressource, appelez le GetRecoveryPointRestoreMetadataAPI.

⁴ Certains types de ressources nécessitent que le rôle effectuant la sauvegarde dispose d'une autorisation de balisage spécifique backup:TagResource si vous prévoyez d'inclure des balises de ressource d'origine dans votre sauvegarde ou d'ajouter des balises supplémentaires à une sauvegarde. Toutes les sauvegardes comportant une sauvegarde ARN commençant par arn:aws:backup:region:account-id:recovery-point: ou une sauvegarde continue nécessitent cette autorisation. backup:TagResourcel'autorisation doit être appliquée à "resourcetype": "arn:aws:backup:region:account-id:recovery-point:*"

Pour plus d'informations, consultez la rubrique Actions, ressources et clés de condition pour AWS Backup dans la section Référence de l'autorisation de service.

Autorisations de copie de balises

Lorsqu'il AWS Backup exécute une tâche de sauvegarde ou de copie, il tente de copier les balises de votre ressource source (ou point de récupération dans le cas d'une copie) vers votre point de restauration.

Au cours d'une tâche de sauvegarde ou de copie, AWS Backup agrège les balises que vous spécifiez dans votre plan de sauvegarde (ou plan de copie, ou sauvegarde à la demande) avec les balises de votre ressource source. Cependant, AWS impose une limite de 50 balises par ressource, qui AWS Backup ne peut pas être dépassée. Lorsqu'une tâche de sauvegarde ou de copie regroupe les balises du plan et de la ressource source, elle peut découvrir plus de 50 balises au total ; elle ne pourra pas terminer la tâche et échouera. Cela est conforme aux meilleures pratiques en matière de balisage à grande AWSéchelle. Pour en savoir plus, consultez Limites de balises dans le Guide de référence générale AWS .

Vous pouvez utiliser votre plan de sauvegarde pour créer des balises qui contredisent les balises de vos ressources source. Lorsque les deux sont en conflit, les balises de votre plan de sauvegarde ont priorité. Utilisez cette technique si vous préférez ne pas copier la valeur d'une balise depuis votre ressource source. Spécifiez la même clé de balise, mais une valeur différente ou vide, à l'aide de votre plan de sauvegarde.

DynamoDB ne prend pas en charge l'attribution de balises aux sauvegardes, sauf si vous activez d'abord Sauvegarde DynamoDB avancée.

Lorsqu'une EC2 sauvegarde Amazon crée un point de restauration d'image et un ensemble de clichés, elle AWS Backup copie les balises dans le résultatAMI. AWS Backup copie également les balises des volumes associés à l'EC2instance Amazon vers les instantanés qui en résultent.

politiques d'accès

Une permissions policy (politique d'autorisation) décrit qui a accès à quoi. Les politiques associées à une IAM identité sont appelées politiques basées sur l'identité (IAMpolitiques). Les politiques associées à une ressource sont appelées politiques basées sur les ressources. AWS Backup prend en charge à la fois les politiques basées sur l'identité et les politiques basées sur les ressources.

Politiques basées sur l'identité (politiques) IAM

Les politiques basées sur l'identité sont des politiques que vous pouvez associer à IAM des identités, telles que des utilisateurs ou des rôles. Par exemple, vous pouvez définir une politique qui permet à un utilisateur de visualiser et de sauvegarder AWS des ressources, mais l'empêche de restaurer des sauvegardes.

Pour plus d'informations sur les utilisateurs, les groupes, les rôles et les autorisations, consultez la section Identités (utilisateurs, groupes et rôles) dans le guide de IAM l'utilisateur.

Pour plus d'informations sur l'utilisation IAM des politiques pour contrôler l'accès aux sauvegardes, consultezPolitiques gérées pour AWS Backup.

Politiques basées sur les ressources

AWS Backup prend en charge les politiques d'accès basées sur les ressources pour les coffres-forts de sauvegarde. Vous pouvez ainsi définir une stratégie d'accès qui peut contrôler quels utilisateurs disposent d'un type d'accès particulier aux sauvegardes organisées dans un coffre-fort de sauvegarde. Les stratégies d'accès basées sur une ressource pour les coffres-forts de sauvegarde permettent de contrôler de manière simple l'accès à vos sauvegardes.

Les politiques d'accès au coffre de sauvegarde contrôlent l'accès des utilisateurs lorsque vous les utilisez AWS Backup APIs. Certains types de sauvegarde, tels que les instantanés Amazon Elastic Block Store (AmazonEBS) et Amazon Relational Database Service (RDSAmazon), sont également accessibles à l'aide de ces services ». APIs Vous pouvez créer des politiques d'accès distinctes pour contrôler l'accès APIs à celles-ci afin de contrôler totalement l'accès aux sauvegardes. IAM

Pour savoir comment créer une stratégie d'accès pour les coffres-forts de sauvegarde, consultez Stratégies d'accès aux coffres.