Fonctions du service IAM - AWS Backup
Utilisation de AWS rôles pour contrôler l'accès aux sauvegardesRôle de service par défaut pour AWS BackupCréation d'une fonction du service par défaut dans la console

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Fonctions du service IAM

Un rôle AWS Identity and Access Management (IAM) est similaire à un utilisateur, dans la mesure où il s'agit d'une AWS identité dotée de politiques d'autorisation qui déterminent ce que l'identité peut et ne peut pas faire. AWS En revanche, au lieu d’être associé de manière unique à une personne, un rôle est conçu pour être assumé par tout utilisateur qui en a besoin. Un rôle de service est un rôle qu'un AWS service assume pour effectuer des actions en votre nom. AWS Backup étant le service qui effectue des opérations de sauvegarde en votre nom, vous devez lui transmettre un rôle à assumer lors des opérations de sauvegarde en votre nom. Pour plus d’informations sur les rôles IAM, consultez Rôles IAM dans le Guide de l’utilisateur IAM.

Le rôle auquel vous passez AWS Backup doit disposer d'une politique IAM avec les autorisations permettant d'effectuer des actions associées AWS Backup aux opérations de sauvegarde, telles que la création, la restauration ou l'expiration de sauvegardes. Des autorisations différentes sont requises pour chacun des AWS services pris en AWS Backup charge. Le rôle doit également être AWS Backup répertorié comme une entité de confiance, ce qui AWS Backup permet d'assumer le rôle.

Lorsque vous attribuez des ressources à un plan de sauvegarde ou que vous effectuez une sauvegarde, une copie ou une restauration à la demande, vous devez transmettre un rôle de service autorisé à effectuer les opérations sous-jacentes sur les ressources spécifiées. AWS Backup utilise ce rôle pour créer, étiqueter et supprimer des ressources dans votre compte.

Utilisation de AWS rôles pour contrôler l'accès aux sauvegardes

Vous pouvez utiliser des rôles pour contrôler l'accès à vos sauvegardes en définissant des rôles étroitement limités et en spécifiant quelles personnes peuvent transmettre ce rôle à AWS Backup. Par exemple, vous pouvez créer un rôle qui accorde uniquement des autorisations pour sauvegarder des bases de données Amazon Relational Database Service (Amazon RDS) et uniquement autoriser les propriétaires de bases de données Amazon RDS à transmettre ce rôle. AWS Backup AWS Backup fournit plusieurs politiques gérées prédéfinies pour chacun des services pris en charge. Vous pouvez attacher ces politiques gérées aux rôles que vous créez. Cela facilite la création de rôles spécifiques au service dotés des autorisations requises. AWS Backup

Pour plus d'informations sur les politiques AWS gérées pour AWS Backup, consultezPolitiques gérées pour AWS Backup.

Rôle de service par défaut pour AWS Backup

Lorsque vous utilisez la AWS Backup console pour la première fois, vous pouvez choisir de AWS Backup créer un rôle de service par défaut pour vous. Ce rôle dispose des autorisations AWS Backup nécessaires pour créer et restaurer des sauvegardes en votre nom.

Note

Le rôle par défaut est automatiquement créé lorsque vous utilisez la AWS Management Console. Vous pouvez créer le rôle par défaut à l'aide du AWS Command Line Interface (AWS CLI), mais cela doit être fait manuellement.

Si vous préférez utiliser des rôles personnalisés, tels que des rôles distincts pour différents types de ressources, vous pouvez également le faire et transmettre vos rôles personnalisés à AWS Backup. Pour voir des exemples de rôles qui permettent la sauvegarde et la restauration pour des types de ressources individuels, consultez la table Politiques gérées par le client.

Le rôle de service par défaut est nomméAWSBackupDefaultServiceRole. Ce rôle de service contient deux politiques gérées, AWSBackupServiceRolePolicyForBackupet AWSBackupServiceRolePolicyForRestores.

AWSBackupServiceRolePolicyForBackupinclut une politique IAM qui accorde des AWS Backup autorisations pour décrire la ressource sauvegardée, ainsi que la possibilité de créer, de supprimer, de décrire ou d'ajouter des balises à une sauvegarde, quelle que soit la AWS KMS clé avec laquelle elle est chiffrée.

AWSBackupServiceRolePolicyForRestoresinclut une politique IAM qui accorde des AWS Backup autorisations pour créer, supprimer ou décrire la nouvelle ressource créée à partir d'une sauvegarde, quelle que soit la AWS KMS clé avec laquelle elle est chiffrée. Il inclut également des autorisations pour baliser les ressources nouvellement créés.

Pour restaurer une EC2 instance Amazon, vous devez lancer une nouvelle instance.

Création d'une fonction du service par défaut dans la console

Les actions spécifiques que vous effectuez dans la AWS Backup console créent le rôle de service AWS Backup par défaut.

Pour créer le rôle de service AWS Backup par défaut dans votre AWS compte

  1. Ouvrez la AWS Backup console à l'adresse https://console.aws.amazon.com/backup.

  2. Pour créer le rôle pour votre compte, attribuez des ressources à un plan de sauvegarde ou créez une sauvegarde à la demande.

    1. Créez un plan de sauvegarde et attribuez des ressources à la sauvegarde. Voir Création d'un plan de sauvegarde.

    2. Vous pouvez également créer une sauvegarde à la demande. Consultez Création d'une sauvegarde à la demande.

  3. Vérifiez que vous avez créé le AWSBackupDefaultServiceRole dans votre compte en suivant ces étapes :

    1. Patientez quelques minutes. Pour plus d'informations, consultez Les modifications que j'apporte ne sont pas toujours visibles immédiatement dans le Guide de l'utilisateur AWS Identity and Access Management.

    2. Connectez-vous à la console IAM AWS Management Console et ouvrez-la à https://console.aws.amazon.com/iam/l'adresse.

    3. Dans le menu de navigation de gauche, choisissez Rôles.

    4. Dans la barre de recherche, saisissez AWSBackupDefaultServiceRole. Si cette sélection existe, vous avez créé le rôle AWS Backup par défaut et terminé cette procédure.

    5. Si AWSBackupDefaultServiceRole n'apparaît toujours pas, ajoutez les autorisations suivantes à l'utilisateur IAM ou au rôle IAM que vous utilisez pour accéder à la console.

      {
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "iam:CreateRole",
        "iam:AttachRolePolicy",
        "iam:PassRole"
      ],
      "Resource":"arn:aws:iam::*:role/service-role/AWSBackupDefaultServiceRole"
    },
    {
      "Effect":"Allow",
      "Action":[
        "iam:ListRoles"
      ],
      "Resource":"*"
    }
  ]
}

      Pour les régions de Chine, remplacez aws paraws-cn. Pour AWS GovCloud (US) les régions, remplacez aws paraws-us-gov.

    6. Si vous ne pouvez pas ajouter d'autorisations à votre utilisateur IAM ou à votre rôle IAM, demandez à votre administrateur de créer manuellement un rôle sous un nom autre que AWSBackupDefaultServiceRole et de l'associer à ces politiques gérées :

      • AWSBackupServiceRolePolicyForBackup

      • AWSBackupServiceRolePolicyForRestores