Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Création de copies de sauvegarde sur Comptes AWS

Vous pouvez en AWS Backup sauvegarder plusieurs Comptes AWS à la demande ou automatiquement dans le cadre d'un plan de sauvegarde planifié. Utilisez une sauvegarde entre comptes si vous souhaitez copier en toute sécurité vos sauvegardes sur un ou plusieurs Comptes AWS sites de votre organisation pour des raisons opérationnelles ou de sécurité. Si votre sauvegarde d'origine est supprimée par inadvertance, vous pouvez copier la sauvegarde de son compte de destination vers son compte source, puis démarrer la restauration. Pour ce faire, vous devez disposer de deux comptes appartenant à la même organisation dans le service AWS Organizations . Pour plus d'informations, consultez Didacticiel : Création et configuration d'une organisation dans le Guide de l'utilisateur Organizations.

Dans votre compte de destination, vous devez créer un coffre-fort de sauvegarde. Vous attribuez ensuite une clé gérée par le client pour chiffrer les sauvegardes dans le compte de destination, ainsi qu'une politique d'accès basée sur les ressources pour autoriser l'accès AWS Backup aux ressources que vous souhaitez copier. Dans le compte source, si vos ressources sont chiffrées à l'aide d'une clé gérée par le client, vous devez partager cette clé gérée par le client avec le compte de destination. Vous pouvez ensuite créer un plan de sauvegarde et choisir un compte de destination faisant partie de votre unité organisationnelle dans AWS Organizations.

Lorsque vous copiez une sauvegarde sur plusieurs comptes pour la première fois, AWS Backup copie la sauvegarde dans son intégralité. En général, si un service prend en charge les sauvegardes incrémentielles, les copies suivantes de cette sauvegarde dans le même compte sont incrémentielles. AWS Backup chiffre à nouveau votre copie à l'aide de la clé gérée par le client de votre coffre-fort de destination.

Configuration de la sauvegarde entre comptes

Pour plus d'informations sur la sécurité, consultez Remarques de sécurité pour la sauvegarde entre comptes.

Pour utiliser la sauvegarde entre comptes, vous devez activer la fonctionnalité de sauvegarde entre comptes. Vous devez ensuite « Autoriser » la stratégie d'accès backup:CopyIntoBackupVault dans votre coffre-fort de sauvegarde de destination.

Planification d'une sauvegarde entre comptes

Vous pouvez utiliser un plan de sauvegarde planifié pour copier des sauvegardes entre Comptes AWS.

Exécution d'une sauvegarde entre comptes à la demande

Vous pouvez copier une sauvegarde Compte AWS sur un autre à la demande.

Clés de chiffrement et copies entre comptes

La clé de chiffrement des copies entre comptes dépend du type de ressource. Ressources qui ont AWS Backup Gestion complète utilisé la clé de chiffrement du coffre de sauvegarde source. KMSLes clés gérées par le client peuvent être utilisées pour le chiffrement des copies entre comptes de ces types de ressources.

Les types de ressources qui ne sont pas entièrement gérés par AWS Backup possèdent la même KMS clé source et la même KMS clé de ressource. La copie entre comptes avec des KMS clés AWS gérées n'est pas prise en charge pour ces types de ressources qui ne sont pas entièrement gérées par AWS Backup.

Pour obtenir de l'aide supplémentaire pour résoudre les problèmes de copie entre comptes, consultez le centre de AWS connaissances.

Lors d'une copie entre comptes, la politique de KMS clé du compte source doit autoriser le compte de destination à utiliser la politique de KMS clé.

Restaurer une sauvegarde de l'un Compte AWS à l'autre

AWS Backup ne prend pas en charge la récupération de ressources de l'un Compte AWS à l'autre. Toutefois, vous pouvez copier une sauvegarde d'un compte vers un autre, puis la restaurer dans ce compte. Par exemple, vous ne pouvez pas restaurer une sauvegarde du compte A vers le compte B, mais vous pouvez copier une sauvegarde du compte A vers le compte B, puis la restaurer dans le compte B.

La restauration d'une sauvegarde d'un compte à un autre est un processus en deux étapes.

Partage d'un coffre-fort de sauvegarde avec un autre compte AWS

AWS Backup vous permet de partager un coffre-fort de sauvegarde avec un ou plusieurs comptes, ou avec l'ensemble de votre organisation AWS Organizations. Vous pouvez partager un coffre-fort de sauvegarde de destination avec un AWS compte, un utilisateur ou un IAM rôle source.

Vous pouvez utiliser des IAM politiques pour partager votre coffre-fort de sauvegarde.

Partager un coffre-fort de sauvegarde de destination avec un IAM rôle Compte AWS or

La politique suivante partage un coffre-fort de sauvegarde avec le numéro de compte 4444555566666 et le IAM rôle SomeRole dans le numéro de compte111122223333.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":[
          "arn:aws:iam::444455556666:root",
          "arn:aws:iam::111122223333:role/SomeRole"
        ]
      },
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*"
    }
  ]
}

Partagez un coffre-fort de sauvegarde de destination dans lequel une unité organisationnelle AWS Organizations

La politique suivante partage un coffre-fort de sauvegarde avec les unités organisationnelles qui utilisent leur PrincipalOrgPaths.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAnyValue:StringLike":{
          "aws:PrincipalOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Partagez un coffre-fort de sauvegarde de destination avec une organisation dans AWS Organizations

La politique suivante partage un coffre-fort de sauvegarde avec l'organisation portant l'PrincipalOrgID « o-a1b2c3d4e5 ».

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "aws:PrincipalOrgID":[
            "o-a1b2c3d4e5"
          ]
        }
      }
    }
  ]
}

Configuration de votre compte en tant que compte de destination

Lorsque vous activez pour la première fois les sauvegardes entre comptes à l'aide de votre compte de AWS Organizations gestion, tout utilisateur d'un compte membre peut configurer son compte comme compte de destination. Nous vous recommandons de définir une ou plusieurs des politiques de contrôle des services suivantes (SCPs) AWS Organizations afin de limiter vos comptes de destination. Pour en savoir plus sur l'attachement de politiques de contrôle des services aux AWS Organizations nœuds, consultez la section Attacher et détacher des politiques de contrôle des services.

Limitation des comptes de destination à l'aide de balises

Lorsqu'elles sont associées à une AWS Organizations racine, une unité d'organisation ou un compte individuel, cette politique limite les destinations de copies de cette racine, de cette unité d'organisation ou de ce compte aux seuls comptes dotés de coffres-forts de sauvegarde que vous avez balisésDestinationBackupVault. L'autorisation "backup:CopyIntoBackupVault" contrôle le comportement d'un coffre-fort de sauvegarde et, dans ce cas, les coffres-forts de sauvegarde de destination valides. Utilisez cette politique, ainsi que la balise correspondante appliquée aux coffres-forts de destination approuvés, pour contrôler les destinations des copies entre comptes uniquement vers les comptes approuvés et les coffres-forts de sauvegarde.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "Null":{
          "aws:ResourceTag/DestinationBackupVault":"true"
        }
      }
    }
  ]
}

Limitation des comptes de destination à l'aide de numéros de compte et de noms de coffres

Lorsqu'elles sont associées à une AWS Organizations racine, une unité d'organisation ou un compte individuel, cette politique limite les copies provenant de cette racine, de cette unité d'organisation ou de ce compte à deux comptes de destination uniquement. L'autorisation "backup:CopyFromBackupVault" contrôle le comportement d'un point de récupération dans le coffre-fort de sauvegarde et, dans ce cas, les destinations vers lesquelles vous pouvez copier ce point de récupération. Le coffre-fort source n'autorisera les copies vers le premier compte de destination (112233445566) que si un ou plusieurs noms de coffre-fort de sauvegarde de destination commencent par cab-. Le coffre-fort source n'autorisera les copies vers le deuxième compte de destination (123456789012) que si la destination est le seul coffre-fort de sauvegarde nommé fort-knox.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"arn:aws:ec2:*:snapshot/*",
      "Condition":{
        "ForAllValues:ArnNotLike":{
          "backup:CopyTargets":[
            "arn:aws:backup:*:112233445566:backup-vault:cab-*",
            "arn:aws:backup:us-west-1:123456789012:backup-vault:fort-knox"
          ]
        }
      }
    }
  ]
}

Limitez les comptes de destination à l'aide d'unités organisationnelles dans AWS Organizations

Lorsque vous êtes connecté à une AWS Organizations racine ou à une unité d'organisation qui contient votre compte source, ou lorsqu'il est attaché à votre compte source, la politique suivante limite les comptes de destination aux comptes compris dans les deux cas spécifiésOUs.

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringNotLike":{
          "backup:CopyTargetOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Remarques de sécurité pour la sauvegarde entre comptes

Tenez compte des éléments suivants lors de l'exécution de sauvegardes entre comptes dans AWS Backup :