Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Coffre-fort à isolation logique

Vue d'ensemble des chambres fortes à espacement d'air logique

AWS Backup propose un type de coffre-fort secondaire qui peut stocker des sauvegardes dans un conteneur doté de fonctionnalités de sécurité supplémentaires. Un coffre-fort logiquement isolé est un coffre-fort spécialisé qui offre une sécurité supérieure à celle d'un coffre-fort de sauvegarde standard, ainsi que la possibilité de partager l'accès au coffre-fort avec d'autres comptes afin que les objectifs de temps de restauration (RTO) soient plus rapides et plus flexibles en cas d'incident nécessitant une restauration rapide des ressources.

Les coffres-forts logiquement isolés sont dotés de fonctionnalités de protection supplémentaires ; chaque coffre-fort est chiffré soit avec une clé AWS détenue (par défaut), soit en option avec une clé KMS gérée par le client, et chaque coffre-fort est équipé AWS Backup du mode de conformité de Vault Lock. Les informations sur le type de clé de cryptage sont visibles via AWS Backup les API et la console pour des rapports de transparence et de conformité.

Vous pouvez intégrer vos coffres-forts logiquement séparés avec Multi-party approbation (MPA) pour permettre la restauration des sauvegardes dans les coffres-forts même si le compte propriétaire du coffre-fort n'est pas accessible, ce qui contribue à maintenir la continuité des activités. De plus, vous pouvez choisir d'intégrer AWS Resource Access Manager (RAM) pour partager un coffre-fort logiquement séparé avec d'autres AWS comptes (y compris des comptes d'autres organisations) afin que les sauvegardes stockées dans le coffre-fort puissent être restaurées à partir d'un compte avec lequel le coffre-fort est partagé, si nécessaire pour la récupération de données ou les tests de restauration. Dans le cadre de cette sécurité accrue, un coffre-fort logiquement séparé stocke ses sauvegardes dans un compte appartenant à un AWS Backup service (ce qui entraîne l'affichage des sauvegardes comme partagées en dehors de votre organisation dans les éléments de modification des attributs dans les journaux). AWS CloudTrail

Dans le cas où le compte propriétaire de votre coffre-fort logiquement isolé serait fermé (de manière malveillante ou autre), vous pouvez toujours accéder aux sauvegardes du coffre-fort (les restaurer ou les copier) via MPA jusqu'à la fin de la période suivant la fermeture. https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-closing.html#post-closure-period Après l'expiration de la période post-fermeture, les sauvegardes ne sont plus accessibles. Pendant la période qui suit la fermeture, vous pouvez consulter la documentation de gestion du AWS compte pour reprendre le contrôle de votre compte tout en travaillant à sa restauration.

Pour une meilleure résilience, nous vous recommandons de créer des copies interrégionales dans des coffres-forts logiquement séparés, dans des comptes identiques ou séparés. Toutefois, si vous souhaitez réduire les coûts de stockage en ne conservant qu'une seule copie, vous pouvez utiliser les sauvegardes principales dans des coffres-forts séparés de manière logique, après l'intégration à MPA. AWS

Vous pouvez consulter la tarification du stockage pour les sauvegardes des services pris en charge dans un coffre-fort logiquement séparé sur la AWS Backup page des tarifs.

Consultez Disponibilité des fonctionnalités par ressource les types de ressources que vous pouvez copier dans un coffre-fort logiquement espacé.

Cas d'utilisation pour les coffres-forts à espace d'air logique

Un coffre-fort à isolation logique est un coffre-fort secondaire qui fait partie d'une stratégie de protection des données. Ce coffre-fort peut aider à améliorer la stratégie de conservation et de restauration de votre organisation lorsque vous souhaitez un coffre-fort pour vos sauvegardes qui

Considérations et restrictions

Comparaison et contraste avec un coffre-fort de sauvegarde standard

Un coffre-fort de sauvegarde est le type de coffre-fort principal et standard utilisé dans AWS Backup. Chaque sauvegarde est stockée dans un coffre-fort de sauvegarde lors de sa création. Vous pouvez attribuer des politiques basées sur les ressources pour gérer les sauvegardes stockées dans le coffre-fort, telles que le cycle de vie des sauvegardes stockées dans le coffre-fort.

Un coffre-fort à isolation logique est un coffre-fort spécialisé offrant plus de sécurité et un partage flexible pour un délai de reprise (RTO) plus rapide. Ce coffre-fort stocke les sauvegardes principales ou les copies des sauvegardes initialement créées et stockées dans un coffre-fort de sauvegarde standard.

Les coffres-forts de sauvegarde sont chiffrés à l'aide d'une clé, un mécanisme de sécurité qui limite l'accès aux utilisateurs prévus. Ces clés peuvent être gérées par le client ou AWS gérées. Consultez la section Chiffrement des copies pour connaître le comportement du chiffrement lors des tâches de copie, y compris la copie dans un coffre-fort logiquement séparé.

En outre, un coffre-fort de secours peut bénéficier d'une sécurité supplémentaire grâce à un verrou ; les coffres-forts à espace ouvert logiquement sont équipés d'un verrou en mode conformité.

À l'instar des coffres-forts de sauvegarde, les coffres-forts à espacement logique prennent également en charge les balises https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#tag-restrictions restreintes pour les sauvegardes Amazon EC2.

Créez un coffre-fort logiquement ventilé

Vous pouvez créer un coffre-fort logiquement séparé via la AWS Backup console ou via une combinaison de AWS Backup commandes CLI. AWS RAM

Chaque espace d'aération logique est équipé d'un verrou de coffre-fort en mode conformité. Consultez AWS Backup Verrouillage du coffre-fort pour vous aider à déterminer les valeurs de durée de conservation les mieux adaptées à votre activité

Console

Création d'un coffre-fort à isolation logique à partir de la console

1. Ouvrez la AWS Backup console à l'adresse https://console.aws.amazon.com/backup.

2. Dans le volet de navigation, sélectionnez Coffres-forts.

3. Les deux types de coffres-forts s'affichent. Sélectionnez Créer un nouveau coffre-fort.

4. Saisissez un nom pour votre coffre-fort de sauvegarde. Le nom de votre coffre-fort peut refléter ce que vous allez y stocker, ou faciliter la recherche des sauvegardes dont vous avez besoin. Vous pouvez par exemple nommer le coffre-fort FinancialBackups.

5. Sélectionnez le bouton radio pour Logic Airgapped Vault.

6. (Facultatif) Choisissez une clé de cryptage. Vous pouvez sélectionner une clé KMS gérée par le client pour un contrôle supplémentaire sur le chiffrement, ou utiliser la clé AWS détenue par défaut (recommandé).

7. Définissez la Période de conservation minimale.

   Cette valeur (en jours, mois ou années) correspond à la durée la plus courte pendant laquelle une sauvegarde peut être conservée dans ce coffre-fort. Les sauvegardes dont la période de rétention est inférieure à cette valeur ne peuvent pas être copiées dans ce coffre-fort.

   La valeur minimale autorisée est de 7 jours. Les valeurs pour les mois et les années respectent ce minimum.

8. Définissez la Période de conservation maximale.

   Cette valeur (en jours, mois ou années) correspond à la durée la plus longue pendant laquelle une sauvegarde peut être conservée dans ce coffre-fort. Les sauvegardes dont la période de rétention est supérieure à cette valeur ne peuvent pas être copiées dans ce coffre-fort.

9. (Facultatif) Définissez la clé de cryptage.

   Spécifiez la clé à utiliser avec votre coffre-fort. Vous pouvez choisir une clé AWS détenue (gérée par AWS Backup) ou saisir l'ARN d'une clé gérée par le client qui appartient de préférence à un autre compte auquel vous avez accès. AWS Backup recommande d'utiliser une AWS clé personnelle.

10. (Facultatif) Ajoutez des balises qui vous aideront à rechercher et à identifier votre coffre-fort à isolation logique. Par exemple, vous pouvez ajouter une balise BackupType:Financial.

11. Sélectionnez Créer un verrouillage de coffre.

12. Passez en revue les paramètres. Si tous les paramètres s'affichent comme prévu, sélectionnez Créer un coffre-fort logiquement isolé.

13. La console vous redirigera vers la page de détails de votre nouveau coffre-fort. Vérifiez que les détails du coffre-fort sont conformes aux attentes.

14. Sélectionnez Coffres-forts pour afficher les coffres-forts de votre compte. Votre coffre-fort logiquement ventilé sera affiché. La clé KMS sera disponible environ 1 à 3 minutes après la création du coffre-fort. Actualisez la page pour voir la clé associée. Une fois que la clé est visible, le coffre est disponible et peut être utilisé.

AWS CLI

Créez un coffre-fort logiquement séparé à partir de la CLI

Vous pouvez l'utiliser AWS CLI pour effectuer des opérations par programmation pour des coffres-forts à espace d'air logique. Chaque CLI est spécifique au AWS service dont elle provient. Les commandes liées au partage sont précédées par aws ram ; toutes les autres commandes doivent être précédées par aws backup.

Utilisez la commande CLI create-logically-air-gapped-backup-vault, modifiée avec les paramètres suivants :

aws backup create-logically-air-gapped-backup-vault
--region us-east-1 // optional
--backup-vault-name sampleName // required
--min-retention-days 7 // required Value must be an integer 7 or greater
--max-retention-days 35 // required
--encryption-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012 // optional
--creator-request-id 123456789012-34567-8901 // optional

Le --encryption-key-arn paramètre facultatif vous permet de spécifier une clé KMS gérée par le client pour le chiffrement du coffre-fort. Si elle n'est pas fournie, le coffre-fort utilisera une clé AWS appartenant à l'utilisateur.

Exemple de commande CLI pour créer un coffre-fort logiquement espacé :

aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--creator-request-id 123456789012-34567-8901 // optional

Exemple de commande CLI pour créer un coffre-fort logiquement espacé avec un chiffrement géré par le client :

aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--encryption-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012
--creator-request-id 123456789012-34567-8901 // optional

Consultez les éléments de réponse de l'CreateLogicallyAirGappedBackupVault API pour plus d'informations après l'opération de création. Si l'opération est couronnée de succès, le nouveau coffre logiquement ventilé aura le feu vert. VaultState CREATING

Une fois la création terminée et la clé cryptée KMS attribuée, VaultState vous passerez àAVAILABLE. Une fois disponible, le coffre-fort peut être utilisé. VaultStatepeut être récupéré en appelant DescribeBackupVault ou ListBackupVaults.

Afficher les détails du coffre logiquement ventilé

Vous pouvez consulter les détails du coffre-fort tels que le résumé, les points de restauration, les ressources protégées, le partage de comptes, la politique d'accès et les balises via la AWS Backup console ou l' AWS Backup interface de ligne de commande.

Console

1. Ouvrez la AWS Backup console à l'adresse https://console.aws.amazon.com/backup.

2. Sélectionnez Coffres-forts dans le panneau de navigation de gauche.

3. Sous la description des coffres-forts se trouvent trois listes : les coffres-forts créés par ce compte, les coffres-forts partagés via la RAM et les coffres-forts accessibles par approbation. Multi-party Sélectionnez l'onglet souhaité pour afficher les coffres-forts.

4. Sous Nom du coffre-fort, cliquez sur le nom du coffre-fort pour ouvrir la page de détails. Vous pouvez consulter le résumé, les points de récupération, les ressources protégées, le partage de compte, la stratégie d'accès et les détails des balises.

   Les détails s'affichent en fonction du type de compte : les comptes qui possèdent un coffre-fort peuvent consulter le partage de compte ; les comptes qui ne possèdent pas de coffre-fort ne pourront pas afficher le partage de compte. Pour les coffres-forts partagés, le type de clé de chiffrement (clé KMS AWS détenue ou gérée par le client) est affiché dans le récapitulatif du coffre-fort.

AWS CLI

Afficher les détails d'un coffre-fort logiquement espacé via la CLI

La commande CLI describe-backup-vault peut être utilisée pour obtenir des informations sur un coffre-fort. Le paramètre backup-vault-name est obligatoire ; region il est facultatif.

aws backup describe-backup-vault
--region us-east-1
--backup-vault-name testvaultname

Exemple de réponse :

{
            "BackupVaultName": "LOG-AIR-GAP-VAULT-TEST",
            "BackupVaultArn": "arn:aws:backup:us-east-1:234567890123:backup-vault:IAD-LAGV-01",
            "VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
            "EncryptionKeyType": "AWS_OWNED_KMS_KEY",
            "CreationDate": "2024-07-25T16:05:23.554000-07:00",
            "NumberOfRecoveryPoints": 0,
            "Locked": true,
            "MinRetentionDays": 8,
            "MaxRetentionDays": 30,
            "LockDate": "2024-07-25T16:05:23.554000-07:00"
}

Note

Le VaultType champ n'est pas inclus dans la réponse de l'API dans les régions où les coffres-forts à espace d'air logique ne sont pas disponibles.

Création de sauvegardes dans un coffre-fort logiquement espacé

Les coffres-forts logiquement espacés peuvent être la cible d'une tâche de copie dans un plan de sauvegarde ou une cible pour une tâche de copie à la demande. Il peut également être utilisé comme cible de sauvegarde principale. Consultez la section Sauvegardes principales dans des coffres-forts à espacement logique.

Chiffrement compatible

Une tâche de copie réussie depuis un coffre-fort de sauvegarde vers un coffre-fort logiquement espacé nécessite une clé de cryptage déterminée par le type de ressource copié.

Lorsque vous créez ou copiez une sauvegarde d'un type de ressource entièrement géré, la ressource source peut être chiffrée par une clé gérée par le client ou par une clé AWS gérée.

Lorsque vous créez ou copiez une sauvegarde d'autres types de ressources (celles qui ne sont pas entièrement gérées), la source doit être chiffrée à l'aide d'une clé gérée par le client. AWS les clés gérées pour les ressources qui ne sont pas entièrement gérées ne sont pas prises en charge.

Créez ou copiez des sauvegardes dans un coffre-fort logiquement espacé grâce à un plan de sauvegarde

Vous pouvez copier une sauvegarde (point de restauration) d'un coffre-fort de sauvegarde standard vers un coffre-fort logiquement séparé en créant un nouveau plan de sauvegarde ou en mettant à jour un plan existant dans la AWS Backup console ou via les AWS CLI commandes et. create-backup-plan update-backup-plan Vous pouvez également créer des sauvegardes directement dans un coffre-fort logiquement espacé en l'utilisant comme cible principale. Consultez la section Sauvegardes principales dans des coffres-forts logiquement espacés pour plus de détails.

Vous pouvez copier une sauvegarde d'un coffre-fort logiquement isolé vers un autre coffre-fort logiquement séparé à la demande (ce type de sauvegarde ne peut pas être planifié dans un plan de sauvegarde). Vous pouvez copier une sauvegarde depuis un coffre-fort logiquement séparé vers un coffre-fort de sauvegarde standard, à condition que la copie soit chiffrée à l'aide d'une clé gérée par le client.

On-demand copie de sauvegarde dans un coffre-fort logiquement espacé

Pour créer une copie unique à la demande d'une sauvegarde dans un coffre-fort logiquement espacé, vous pouvez effectuer une copie à partir d'un coffre-fort de sauvegarde standard. Cross-Region ou des copies entre comptes sont disponibles si le type de ressource prend en charge le type de copie.

Disponibilité des copies

Une copie d'une sauvegarde peut être créée à partir du compte auquel appartient le coffre-fort. Les comptes avec lesquels le coffre-fort a été partagé ont la possibilité de consulter ou de restaurer une sauvegarde, mais pas d'en créer une copie.

Seuls les types de ressources prenant en charge la copie entre régions ou entre comptes peuvent être inclus.

Console

1. Ouvrez la AWS Backup console à l'adresse https://console.aws.amazon.com/backup.

2. Sélectionnez Coffres-forts dans le panneau de navigation de gauche.

3. Sur la page détaillée du coffre-fort, tous les points de récupération de ce coffre-fort sont affichés. Cochez la case à côté du point de récupération que vous souhaitez copier.

4. Puis sélectionnez Actions et Copier dans le menu déroulant.

5. Sur l'écran suivant, saisissez les détails de la destination.

   1. Spécifiez la région de destination.

   2. Le menu déroulant du coffre-fort de sauvegarde de destination affiche les coffres-forts de destination éligibles. Sélectionnez-en un avec le type logically air-gapped vault

6. Sélectionnez Copier une fois que tous les détails sont définis selon vos préférences.

Sur la page Tâches de la console, vous pouvez sélectionner des tâches de copie pour voir les tâches de copie en cours.

AWS CLI

Utilisez start-copy-job pour copier une sauvegarde existante d'un coffre-fort de sauvegarde vers un coffre-fort logiquement espacé.

Exemple d'entrée de l'interface de ligne de commande :

aws backup start-copy-job
--region us-east-1
--recovery-point-arn arn:aws:resourcetype:region::snapshot/snap-12345678901234567
--source-backup-vault-name sourcevaultname
--destination-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:destinationvaultname
--iam-role-arn arn:aws:iam::123456789012:role/service-role/servicerole

Pour plus d'informations, consultez les sections Copie d'une sauvegarde, Sauvegarde interrégionale et Cross-account Sauvegarde.

Partagez un coffre-fort logiquement ventilé

Vous pouvez utiliser AWS Resource Access Manager (RAM) pour partager un coffre-fort logiquement séparé avec les autres comptes que vous désignez. Lors du partage de coffres-forts, les informations relatives au type de clé de chiffrement (clé KMS AWS détenue ou gérée par le client) sont préservées et visibles pour les comptes avec lesquels le coffre-fort est partagé.

Un coffre-fort ne peut être partagé qu'avec Compte AWS des identifiants individuels. Vous pouvez partager avec un compte de votre organisation ou avec un compte d'une autre organisation. Le coffre-fort ne peut pas être partagé avec l'ensemble d'une organisation ou avec des unités organisationnelles (UO). Seuls les identifiants de compte individuels sont pris en charge comme principaux de partage.

Seuls les comptes dotés de privilèges IAM spécifiques peuvent partager et gérer le partage des coffres-forts.

Pour partager en utilisant AWS RAM, assurez-vous de disposer des éléments suivants :

Console

1. Ouvrez la AWS Backup console à l'adresse https://console.aws.amazon.com/backup.

2. Sélectionnez Coffres-forts dans le panneau de navigation de gauche.

3. Sous les descriptions des coffres-forts figurent deux listes, Coffres-forts appartenant à ce compte et Coffres-forts partagés avec ce compte. Les coffres-forts détenus par le compte peuvent être partagés.

4. Sous Nom du coffre-fort, cliquez sur le nom du coffre-fort à isolation logique pour ouvrir la page de détails.

5. Le volet Partage de compte indique avec quels comptes le coffre-fort est partagé.

6. Pour commencer à partager avec un autre compte ou pour modifier des comptes déjà partagés, sélectionnez Gérer le partage.

7. La AWS RAM console s'ouvre lorsque l'option Gérer le partage est sélectionnée. Pour savoir comment partager une ressource à l'aide de la AWS RAM, consultez la section Création d'un partage de ressources dans la AWS RAM dans le Guide de l'utilisateur de la AWS RAM.

8. Le compte invité à accepter une invitation afin de recevoir un partage dispose de 12 heures pour accepter l'invitation. Consultez Acceptation et rejet des invitations de partage de ressources dans le Guide de l'utilisateur AWS RAM.

9. Si les étapes de partage sont terminées et acceptées, la page récapitulative du coffre-fort s'affichera sous Partage de compte = « Partagé – voir le tableau de partage de compte ci-dessous ».

AWS CLI

AWS RAM utilise la commande CLIcreate-resource-share. L'accès à cette commande n'est disponible que pour les comptes disposant d'autorisations suffisantes. Consultez Création d'un partage de ressources dans AWS RAM pour les étapes de l'interface de ligne de commande.

Les étapes 1 à 4 sont effectuées avec le compte propriétaire du coffre-fort à isolation logique. Les étapes 5 à 8 sont effectuées avec le compte avec lequel le coffre-fort à isolation logique sera partagé.

1. Connectez-vous au compte propriétaire OU demandez à un utilisateur de votre organisation disposant d'informations d'identification suffisantes d'accéder au compte source afin d'effectuer ces étapes.

   1. Si un partage de ressources a déjà été créé et que vous souhaitez y ajouter une ressource supplémentaire, utilisez plutôt la commande associate-resource-share de l'interface de ligne de commande avec l'ARN du nouveau coffre-fort.

2. Récupérez les informations d'identification d'un rôle disposant d'autorisations suffisantes pour les partager via RAM. Saisissez-les dans l'interface de ligne de commande.

   1. L'autorisation ram:CreateResourceShare est nécessaire pour cette procédure. La politique AWSResourceAccessManagerFullAccess contient toutes les RAM-related autorisations.

3. Utilisez create-resource-share.

   1. Incluez l'ARN du coffre-fort à isolation logique.

   2. Exemple d'entrée :

      aws ram create-resource-share
      --name MyLogicallyAirGappedVault
      --resource-arns arn:aws:backup:us-east-1:123456789012:backup-vault:test-vault-1
      --principals 123456789012
      --region us-east-1

   3. Exemple de sortie :

      {
         "resourceShare":{
            "resourceShareArn":"arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543",
            "name":"MyLogicallyAirGappedVault",
            "owningAccountId":"123456789012",
            "allowExternalPrincipals":true,
            "status":"ACTIVE",
            "creationTime":"2021-09-14T20:42:40.266000-07:00",
            "lastUpdatedTime":"2021-09-14T20:42:40.266000-07:00"
         }
      }

4. Copiez l'ARN du partage de ressources dans la sortie (nécessaire pour les étapes suivantes). Donnez l'ARN à l'opérateur du compte que vous invitez à recevoir le partage.

5. Obtenir l'ARN du partage de ressources

   1. Si vous n'avez pas effectué les étapes 1 à 4, procurez-vous la ressource ShareArn auprès de la personne qui l'a fait.

   2. Exemple : arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543

6. Dans l'interface de ligne de commande, utilisez les informations d'identification du compte du destinataire.

7. Recevez une invitation à partager des ressources avec get-resource-share-invitations. Pour plus d'informations, consultez Acceptation et refus des invitations dans le Guide de l'utilisateur AWS RAM .

8. Acceptez l'invitation sur le compte de destination (de récupération).

   1. Utiliser accept-resource-share-invitation (ou également reject-resource-share-invitation).

Vous pouvez utiliser les commandes de l' AWS RAM interface de ligne de commande pour afficher les éléments partagés :

• Ressources que vous avez partagées :

  aws ram list-resources --resource-owner SELF --resource-type backup:backup-vault --region us-east-1

• Montrez le directeur :

  aws ram get-resource-share-associations --association-type PRINCIPAL --region us-east-1

• Ressources partagées par d'autres comptes :

  aws ram list-resources --resource-owner OTHER-ACCOUNTS --resource-type backup:backup-vault --region us-east-1

Restaurez une sauvegarde à partir d'un coffre-fort logiquement isolé

Vous pouvez restaurer une sauvegarde stockée dans un coffre-fort logiquement séparé depuis le compte propriétaire du coffre-fort ou depuis n'importe quel compte avec lequel le coffre-fort est partagé.

Consultez la section Restauration d'une sauvegarde pour plus d'informations sur la restauration d'un point de restauration via la AWS Backup console.

Une fois qu'une sauvegarde a été partagée depuis un coffre-fort logiquement séparé vers votre compte, vous pouvez l'utiliser start-restore-job pour restaurer la sauvegarde.

Un exemple d'entrée CLI peut inclure la commande et les paramètres suivants :

aws backup start-restore-job
--recovery-point-arn arn:aws:backup:us-east-1:accountnumber:recovery-point:RecoveryPointID
--metadata {\"availabilityzone\":\"us-east-1d\"}
--idempotency-token TokenNumber
--resource-type ResourceType
--iam-role arn:aws:iam::number:role/service-role/servicerole
--region us-east-1

Supprimer un coffre-fort logiquement isolé

Consultez la section Supprimer un coffre-fort. Les coffres-forts ne peuvent pas être supprimés s'ils contiennent encore des sauvegardes (points de récupération). Assurez-vous que le coffre-fort ne contient aucune sauvegarde avant de lancer une opération de suppression.

La suppression d'un coffre-fort supprime également la clé associée au coffre-fort sept jours après la suppression du coffre-fort conformément à la politique de suppression des clés.

L'exemple de commande de l'interface de ligne de commande suivant delete-backup-vault peut être utilisé pour supprimer un coffre-fort.

aws backup delete-backup-vault
--region us-east-1 
--backup-vault-name testvaultname

Options de programmation supplémentaires pour les coffres-forts à espace d'air logique

La commande list-backup-vaults de l'interface de ligne de commande peut être modifiée pour répertorier tous les coffres-forts détenus par le compte et présents dans celui-ci :

aws backup list-backup-vaults
--region us-east-1

Pour répertorier uniquement les coffres-forts à isolation logique, ajoutez le paramètre

--by-vault-type LOGICALLY_AIR_GAPPED_BACKUP_VAULT

Incluez le paramètre by-shared permettant de filtrer la liste des coffres-forts renvoyée afin d'afficher uniquement les coffres partagés logiquement séparés. La réponse inclura des informations sur le type de clé de cryptage pour chaque coffre-fort partagé.

aws backup list-backup-vaults
--region us-east-1
--by-shared

Exemple de réponse indiquant les informations relatives au type de clé de chiffrement :

{
    "BackupVaultList": [
        {
            "BackupVaultName": "shared-logically air-gapped-vault",
            "BackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:shared-logically air-gapped-vault",
            "VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
            "EncryptionKeyType": "AWS_OWNED_KMS_KEY",
            "CreationDate": "2024-07-25T16:05:23.554000-07:00",
            "Locked": true,
            "MinRetentionDays": 7,
            "MaxRetentionDays": 30
        }
    ]
}

Comprendre les types de clés de chiffrement pour les coffres-forts à espace ouvert de manière logique

Les coffres-forts à espacement logique prennent en charge différents types de clés de chiffrement, et ces informations sont visibles via AWS Backup les API et la console. Lorsque les coffres-forts sont partagés via AWS RAM ou MPA, les informations relatives au type de clé de cryptage sont préservées et rendues visibles pour les comptes avec lesquels le coffre-fort est partagé. Cette transparence vous permet de comprendre la configuration de chiffrement des coffres-forts et de prendre des décisions éclairées concernant les opérations de sauvegarde et de restauration.

Valeurs du type de clé de chiffrement

Le EncryptionKeyType champ peut avoir les valeurs suivantes :

Politique clé pour la création de coffres-forts cryptés et logiquement séparés par CMK

Lorsque vous créez un coffre-fort logiquement séparé avec une clé gérée par le client, vous devez appliquer la politique AWSAWSBackupFullAccess -managed au rôle de votre compte. Cette politique inclut des Allow actions qui permettent d' AWS Backup interagir avec la création de clés KMS AWS KMS pour obtenir une autorisation lors des opérations de sauvegarde, de copie et de stockage. En outre, vous devez vous assurer que votre politique relative aux clés gérées par le client (si elle est utilisée) inclut les autorisations requises spécifiques.

{  
    "Sid": "Allow use of the key to create a logically air-gapped vault",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[account-id]:role/TheRoleToAccessAccount"  
    },  
    "Action": [  
        "kms:CreateGrant",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*",  
   "Condition": {  
        "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
        }  
   }  
}

Politique clé pour copy/restore

Pour éviter les échecs de tâches, passez en revue votre politique AWS KMS clé pour vous assurer qu'elle inclut toutes les autorisations requises et ne contient aucune instruction de refus susceptible de bloquer les opérations. Les conditions suivantes s'appliquent :

{  
    "Sid": "Allow use of the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole"      //[Source copy role]          
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*",  
   "Condition": {  
         "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
         }  
   }  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Source copy role]   
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        },  
        "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
        }  
    }  
}

{  
    "Sid": "Allow use of the key for copy from a CMK encrypted logically air-gapped vault to normal backup vault",
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole",      //[Source copy role]  
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]    
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*"  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
          "AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole",      //[Source copy role]  
                  "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]   
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        }  
    }  
}

{  
    "Sid": "Allow use of the key for copy/restore from a recovery account",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole", //[Recovery account copy/restore role]
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"] //[Destination SLR]    
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*"  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Recovery account copy/restore role]    
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]  
                  
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        }  
    }  
}

IAM Role

Lorsqu'ils effectuent des opérations de copie de coffres-forts logiquement espacées, les clients peuvent utiliser la politique AWSBackupDefaultServiceRole qui inclut la AWS gestion. AWSBackupServiceRolePolicyForBackup Toutefois, si les clients préfèrent mettre en œuvre une approche axée sur le moindre privilège, leur politique IAM doit inclure une exigence spécifique :

{  
    "Version": "2012-10-17",  
    "Statement": [  
         {  
            "Sid": "KMSPermissions",  
            "Effect": "Allow",  
            "Action": "kms:DescribeKey",  
            "Resource": [  
                "arn:aws:kms:*:[source-account-id]:key/*",  - Source logically air-gapped vault CMK -   
                "arn:aws:kms:*:[destination-account-id]:key/*".  - Destination logically air-gapped vault CMK -   
            ]  
        },  
        {  
            "Sid": "KMSCreateGrantPermissions",  
            "Effect": "Allow",  
            "Action": "kms:CreateGrant",  
            "Resource": [  
                "arn:aws:kms:*:[source-account-id]:key/*",  - Source logically air-gapped vault CMK -   
                "arn:aws:kms:*:[destination-account-id]:key/*".  - Destination logically air-gapped vault CMK -   
            ]  
            "Condition": {  
                "Bool": {  
                    "kms:GrantIsForAWSResource": "true"  
                }  
            }  
        },  
    ]  
}

Par conséquent, l'une des erreurs les plus courantes se produit lors de la copie lorsque les clients ne fournissent pas les autorisations suffisantes sur leurs CMK et leurs rôles de copie.

Affichage des types de clés de chiffrement

Vous pouvez consulter les informations relatives au type de clé de chiffrement via la AWS Backup console et par programmation à l'aide des kits de développement logiciel AWS CLI ou des kits de développement logiciel.

Console : lorsque vous visualisez des coffres-forts logiquement espacés dans la AWS Backup console, le type de clé de cryptage est affiché dans la page des détails du coffre-fort, dans la section Informations de sécurité.

AWS CLI/API : Le type de clé de chiffrement est renvoyé en réponse aux opérations suivantes lors de l'interrogation de coffres-forts logiquement espacés :

Considérations relatives au chiffrement des coffres-forts

Lorsque vous travaillez avec des coffres-forts à espacement logique et des types de clés de chiffrement, tenez compte des points suivants :

Utilisation de la clé appartenant au service

AWS Backup crée et gère des clés de chiffrement qui sont utilisées pour chiffrer toutes les données de sauvegarde stockées dans des coffres-forts logiquement séparés, afin de protéger et d'empêcher toute perte d'accès à la clé de cryptage lors d'un événement de perte de données.

Consultez la AWS KMS documentation pour en savoir plus.

Considérations relatives à la correction automatique de la sécurité

Lorsque vous AWS Backup copiez une sauvegarde EC2 (AMI) dans un coffre-fort logiquement séparé, elle accorde temporairement (sur l'AMI) et launchPermission createVolumePermission (sur les instantanés EBS associés) à un compte appartenant au service. Ces autorisations sont automatiquement révoquées une fois la copie terminée.

Ces opérations génèrent ModifyImageAttribute des ModifySnapshotAttribute événements dans vos AWS CloudTrail journaux, avec userIdentity.invokedBy défini surbackup.amazonaws.com.

Si vous disposez d'une logique de correction automatique de sécurité (par exemple, Amazon EventBridge rules with AWS Lambda) qui surveille ces événements et révoque le partage entre comptes, vous devez exclure les événements où ils se trouvent. userIdentity.invokedBy backup.amazonaws.com Sinon, les tâches de copie vers des coffres-forts logiquement espacés échoueront avec le message suivant : « Vous n'êtes pas autorisé à accéder au stockage de cet ami ».

Cette exclusion est sûre car la copie est autorisée par vos politiques d'accès au coffre-fort (backup:CopyFromBackupVaultsur le coffre-fort source et backup:CopyIntoBackupVault sur le coffre-fort de destination), qui sont évaluées avant toute modification des attributs EC2. Les autorisations temporaires sont accordées uniquement à un compte AWS appartenant à un service fixe et sont automatiquement révoquées une fois la copie terminée.

Exemple de modèle d'événement de EventBridge règle qui exclut les AWS Backup opérations :

{
  "source": ["aws.ec2"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["ec2.amazonaws.com"],
    "eventName": ["ModifySnapshotAttribute", "ModifyImageAttribute"],
    "userIdentity": {
      "invokedBy": [{"anything-but": "backup.amazonaws.com"}]
    }
  }
}

Résoudre un problème de chambre forte logiquement isolée

Si vous rencontrez des erreurs au cours de votre flux de travail, consultez les exemples d'erreurs suivants et les solutions proposées :

La tâche de copie de l'AMI EC2 vers un coffre logiquement espacé échoue avec une erreur d'autorisation

Erreur : Copy job fails with "You do not have permission to access the storage of this ami."

Cause possible : lors d'une tâche de copie d'une AMI EC2 vers un coffre-fort logiquement espacé, accorde AWS Backup temporairement une autorisation de lancement (AMI) et crée une autorisation de volume (instantané EBS) sur un compte appartenant au service, générant et enregistrant des événements dans vos journaux. ModifyImageAttribute ModifySnapshotAttribute AWS CloudTrail Si vous disposez d'une logique de correction automatique de sécurité (telle que des EventBridge règles avec Lambda) qui surveille ces événements et révoque automatiquement les autorisations de partage entre comptes, elle peut supprimer l'accès temporaire avant la fin de la copie.

Solution : mettez à jour le modèle d'événements de votre EventBridge règle pour exclure les opérations effectuées par AWS Backup. Plus précisément, excluez les userIdentity.invokedBy événements backup.amazonaws.com pour vous assurer que votre logique de correction automatique ne révoque pas les autorisations temporaires entre comptes AWS Backup accordées pendant le processus de copie.

AccessDeniedException

Erreur : An error occured (AccessDeniedException) when calling the [command] operation: Insufficient privileges to perform this action."

Cause possible : le paramètre n'--backup-vault-account-ida pas été inclus lorsque l'une des requêtes suivantes a été exécutée sur un coffre-fort partagé par la RAM :

Solution : réessayez la commande qui a renvoyé l'erreur, mais incluez le paramètre --backup-vault-account-id qui spécifie le compte propriétaire du coffre-fort.

OperationNotPermittedException

Erreur : OperationNotPermittedException est renvoyée après un CreateResourceShare appel.

Cause possible : si vous tentez de partager une ressource, telle qu'un coffre-fort logiquement isolé, avec une autre organisation, il se peut que vous obteniez cette exception. Un coffre-fort peut être partagé avec un compte d'une autre organisation, mais il ne peut pas être partagé avec l'autre organisation elle-même.

Solution : Réessayez l'opération, mais spécifiez un compte comme valeur pour principals au lieu d'une organisation ou d'une unité d'organisation.

Type de clé de chiffrement non affiché

Problème : le type de clé de chiffrement n'est pas visible lors de l'affichage d'un coffre-fort logiquement espacé ou de ses points de restauration.

Causes possibles :

Résolution :

« ÉCHEC » VaultState AccessDeniedException dans les CloudTrail journaux

Erreur dans CloudTrail : "User: <assumed role> is not authorized to perform: kms:CreateGrant on this resource because the resource does not exist in this Region, no resource-based policies allow access, or a resource-based policy explicitly denies access"

Causes possibles :

Résolution :

Impossible de supprimer le coffre-fort de sauvegarde Restaurer l'accès à l'état « ÉCHEC »

Erreur : un coffre-fort de sauvegarde avec restauration de l'accès est bloqué en état d'échec. RevokeRestoreAccessBackupVaultrenvoie une erreur nécessitant que le coffre-fort soit à l'état DISPONIBLE, et CreateRestoreAccessBackupVault renvoieLimitExceededException.

Causes possibles :

Solution : appelez DeleteBackupVault depuis le compte de restauration pour supprimer le coffre-fort de sauvegarde de l'accès à la restauration qui a échoué. RevokeRestoreAccessBackupVaults'applique uniquement aux coffres-forts dont l'état EST DISPONIBLE. Vault Lock n'empêche pas cette suppression, car un coffre de sauvegarde avec accès à la restauration est une vue du coffre-fort sous-jacent logiquement espacé et ne contient aucun point de restauration propre. Après la suppression, corrigez la politique de clé KMS et ajoutez l'mpa:StartSessionautorisation avant de recréer le coffre-fort.