Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS Backup Verrouillage du coffre-fort

AWS Backup Vault Lock est disponible sans frais supplémentaires. Les frais AWS Backup de stockage standard s'appliquent aux sauvegardes stockées dans un coffre-fort verrouillé. Étant donné que les sauvegardes d'un coffre-fort verrouillé ne peuvent pas être supprimées tant que leur cycle de vie n'est pas terminé, assurez-vous que vos paramètres de conservation sont correctement configurés afin d'éviter des coûts de stockage imprévus. Pour plus d'informations sur la tarification du stockage, consultez la section AWS Backup Tarification.

AWS Backup Vault Lock est une fonctionnalité optionnelle d'un coffre-fort de sauvegarde, qui peut s'avérer utile pour renforcer la sécurité et le contrôle de vos coffres-forts de sauvegarde. Lorsqu'un verrou est actif en mode Conformité et que le délai de grâce est écoulé, la configuration du coffre-fort ne peut pas être modifiée ou supprimée par un client, account/data son propriétaire ou AWS tant qu'il contient des points de restauration. Chaque coffre-fort peut avoir un verrouillage de coffre-fort en place.

AWS Backup garantit que vos sauvegardes sont disponibles pour vous jusqu'à l'expiration de leur période de conservation du cycle de vie des sauvegardes. Ces périodes de conservation sont définies lors de la création de chaque sauvegarde et sont indépendantes des paramètres de conservation minimum et maximum du verrouillage du coffre-fort. Si un utilisateur (y compris l'utilisateur root) tente de supprimer une sauvegarde ou de modifier les propriétés du cycle de vie dans un coffre-fort verrouillé, l'opération AWS Backup sera refusée.

Modes de verrouillage du coffre-fort

Lorsque vous créez un verrouillage de coffre-fort, vous avez le choix entre deux modes : le mode Gouvernance ou le mode Conformité. Le mode Gouvernance est destiné à permettre à un coffre-fort d'être géré uniquement par des utilisateurs disposant de privilèges IAM suffisants. Le mode Gouvernance aide une organisation à répondre aux exigences de gouvernance, en garantissant que seul le personnel désigné peut apporter des modifications à un coffre-fort de sauvegarde. Le mode Conformité est destiné aux coffres-forts de sauvegarde dans lesquels le coffre-fort (et par extension, son contenu) ne devrait jamais être supprimé ou modifié avant la fin de la période de conservation des données. Une fois qu'un coffre-fort en mode conformité est verrouillé, il est immuable, ce qui signifie que le verrou ne peut pas être supprimé (le coffre-fort lui-même peut être supprimé s'il est vide et ne contient aucun point de restauration).

Un coffre-fort verrouillé en mode de gouvernance peut être géré ou supprimé par les utilisateurs disposant des autorisations IAM appropriées.

Un verrouillage de coffre-fort en mode Conformité ne peut être modifié ou supprimé par un utilisateur ou par AWS. Un verrou de coffre en mode conformité dispose d'un délai de grâce que vous définissez avant qu'il ne soit verrouillé et que le contenu et le verrouillage du coffre-fort ne deviennent immuables.

Avantages de Vault Lock

AWS Backup Vault Lock offre plusieurs avantages, notamment :

Verrouillage d'un coffre-fort de sauvegarde à l'aide de la console

Vous pouvez ajouter un verrou à votre AWS Backup coffre-fort à l'aide de la console de sauvegarde.

Si les étapes ont été effectuées, une bannière « Succès » apparaîtra en haut de la console.

Verrouillage d'un coffre-fort de sauvegarde par programmation

Pour configurer AWS Backup Vault Lock, utilisez l'APIPutBackupVaultLockConfiguration. Les paramètres à inclure dépendent du mode de verrouillage du coffre-fort que vous souhaitez utiliser. Si vous souhaitez créer un verrouillage de coffre-fort en mode gouvernance, n'incluez pas ChangeableForDays. Si ce paramètre est inclus, le verrouillage du coffre-fort sera créé en mode conformité.

Voici un exemple d'interface de ligne de commande pour la création d'un verrouillage de coffre-fort en mode conformité :

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

Voici un exemple d'interface de ligne de commande pour la création d'un verrouillage de coffre-fort en mode gouvernance :

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

Vous pouvez configurer quatre options.

Examinez un coffre-fort de sauvegarde pour ses AWS Backup Configuration de Vault Lock

Vous pouvez consulter les informations de AWS Backup Vault Lock sur un coffre-fort à tout moment en appelant DescribeBackupVault ou en utilisant ListBackupVaults des API.

Pour déterminer si vous avez appliqué un verrouillage de coffre-fort à un coffre-fort de sauvegarde, appelez DescribeBackupVault et vérifiez la propriété Locked. Si"Locked": true, comme dans l'exemple suivant, vous avez appliqué AWS Backup Vault Lock à votre coffre-fort de sauvegarde.

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

La sortie précédente confirme les options suivantes :

Si "Locked":false, comme dans l'exemple suivant, vous n'avez pas appliqué de verrouillage de coffre-fort (ou un verrouillage précédent a été supprimé).

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

Suppression du verrouillage de coffre-fort pendant le délai de grâce (mode Conformité)

Pour supprimer le verrouillage de votre coffre-fort pendant la période de grâce (la période qui suit le verrouillage du coffre-fort mais avant la vôtreLockDate) à l'aide de la AWS Backup console,

Si toutes les étapes ont été effectuées, une bannière « Succès » apparaîtra en haut de l'écran de la console.

Pour supprimer le verrouillage de votre coffre-fort pendant le délai de grâce à l'aide d'une commande d'interface de ligne de commande, utilisez DeleteBackupVaultLockConfiguration comme cet exemple d'interface de ligne de commande :

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

Compte AWS fermeture avec un coffre-fort verrouillé

Lorsque vous fermez un Compte AWS espace contenant un coffre-fort de sauvegarde AWS et que vous AWS Backup suspendez votre compte pendant 90 jours avec vos sauvegardes intactes. Si vous ne rouvrez pas votre compte pendant ces 90 jours, AWS le contenu de votre coffre-fort de sauvegarde sera supprimé, même si AWS Backup Vault Lock était en place.

Considérations supplémentaires en matière de sécurité

AWS Backup Vault Lock ajoute une couche de sécurité supplémentaire à votre défense approfondie en matière de protection des données. Le verrouillage du coffre-fort peut être combiné avec les autres fonctionnalités de sécurité suivantes :