Automatisez les copies instantanées entre comptes avec Data Lifecycle Manager

Ouvrez la AWS KMS console à l'adresse https://console.aws.amazon.com/kms.

Pour modifier le Région AWS, utilisez le sélecteur de région dans le coin supérieur droit de la page.

Dans le volet de navigation, choisissez Clé gérée par le client, puis sélectionnez la KMS clé que vous devez partager avec les comptes cibles.

Prenez note de la KMS cléARN, vous en aurez besoin plus tard.

Sous l’onglet Stratégie de clé, faites défiler la page jusqu’à la section Utilisateurs de clé. Choisissez Ajouter, entrez le nom du IAM rôle que vous avez sélectionné à l'étape précédente, puis choisissez Ajouter.

Sous l’onglet Stratégie de clé, faites défiler la page jusqu’à la section Autres comptes AWS . Choisissez Ajouter d'autres AWS comptes, puis ajoutez tous les AWS comptes cibles avec lesquels vous avez choisi de partager les instantanés à l'étape précédente.

Sélectionnez Enregistrer les modifications.

Ouvrez la EC2 console Amazon à l'adresse https://console.aws.amazon.com/ec2/.

Dans le panneau de navigation, sélectionnez Elastic Block Store, Gestionnaire de cycle de vie, puis Créer une stratégie de cycle de vie d’instantané.

Dans l’écran Sélectionner un type de stratégie, choisissez Stratégie d’événement de copie entre comptes, puis Suivant.

Pour Description de la stratégie, entrez une brève description de la stratégie.

Pour Etiquettes de stratégie, ajoutez les étiquettes à appliquer à la stratégie de cycle de vie. Vous pouvez utiliser ces étiquettes pour identifier et catégoriser vos politiques.

Dans la section Paramètres de l’événement, définissez l’événement de partage d’instantané qui entraînera l’exécution de la stratégie. Procédez comme suit :

1. Pour Partage de comptes, spécifiez les AWS comptes sources à partir desquels vous souhaitez copier les instantanés partagés. Choisissez Ajouter un compte, entrez l'identifiant de AWS compte à 12 chiffres, puis sélectionnez Ajouter.

2. Pour Filtrer par description, saisissez la description d’instantané requise en utilisant une expression régulière. Seuls les instantanés partagés par les comptes sources spécifiés et dont les descriptions correspondent au filtre spécifié sont copiés par la politique. Pour de plus amples informations, veuillez consulter Spécifier les filtres de description d’instantané.

Pour IAMle rôle, choisissez le IAM rôle autorisé à effectuer des actions de copie instantanée. Pour utiliser le rôle par défaut fourni par Amazon Data Lifecycle Manager, choisissez Rôle par défaut. Sinon, pour utiliser un IAM rôle personnalisé que vous avez créé précédemment, choisissez Choisir un autre rôle, puis sélectionnez le rôle à utiliser.

Si vous copiez des instantanés chiffrés, vous devez autoriser le IAM rôle sélectionné à utiliser la KMS clé de chiffrement utilisée pour chiffrer le volume source. De même, si vous chiffrez l'instantané dans la région de destination à l'aide d'une KMS clé différente, vous devez autoriser le IAM rôle à utiliser la KMS clé de destination. Pour de plus amples informations, veuillez consulter Étape 4 : Autoriser IAM le rôle à utiliser les KMS clés requises (compte cible).

Dans la section Copier une action, définissez les actions de copie d’instantané que la stratégie doit exécuter quand elle est activée. La politique peut copier des instantanés vers jusqu’à trois régions. Vous devez spécifier une règle de copie distincte pour chaque région de destination. Pour chaque règle que vous ajoutez, procédez comme suit :

1. Pour Nom, saisissez un nom descriptif pour la copie.

2. Pour Région cible, sélectionnez la région dans laquelle copier les instantanés.

3. Pour Expirer, spécifiez la durée de rétention des copies d’instantané dans la région cible après leur création.

4. Pour chiffrer la copie d’instantané, pour Chiffrement, sélectionnez Activer le chiffrement. Si l’instantané source est chiffré ou si le chiffrement par défaut est activé pour votre compte, alors la copie d’instantané est toujours chiffrée, même si vous n’activez pas le chiffrement ici. Si l’instantané source n’est pas chiffré et que le chiffrement par défaut n’est pas activé pour votre compte, vous pouvez choisir d’activer ou de désactiver le chiffrement. Si vous activez le chiffrement, mais que vous ne spécifiez pas de KMS clé, les instantanés sont chiffrés à l'aide de la KMS clé de chiffrement par défaut dans chaque région de destination. Si vous spécifiez une KMS clé pour la région de destination, vous devez avoir accès à la KMS clé.

Pour ajouter des actions de copie d’instantané, choisissez Ajouter de nouvelles régions.

Pour Policy status after creation (Statut de la stratégie après création), choisissez Enable policy (Activer la stratégie) pour lancer les exécutions de stratégie lors de la prochaine heure planifiée ou Disable policy (Désactiver la stratégie) pour empêcher l’exécution de la stratégie. Si vous n’activez pas la politique maintenant, elle ne commencera à copier des instantanés que quand vous l’aurez activée manuellement après sa création.

Choisissez Create Policy (Créer une politique).

Ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Dans le volet de navigation, sélectionnez Rôles. Recherchez et sélectionnez le IAM rôle que vous avez sélectionné lors de la création de la politique relative aux événements de copie entre comptes à l'étape précédente. Si vous avez choisi d'utiliser le rôle par défaut, celui-ci est nommé AWSDataLifecycleManagerDefaultRole.

Choisissez Ajouter une politique intégrée, puis sélectionnez l'JSONonglet.

Remplacez la politique existante par la suivante, et spécifiez ARN la KMS clé qui a été utilisée pour chiffrer les volumes source et qui a été partagée avec vous par le compte source à l'étape 2.

Dans l'exemple suivant, la politique accorde au IAM rôle l'autorisation d'utiliser la KMS clé1234abcd-12ab-34cd-56ef-1234567890ab, qui était partagée par le compte source111111111111, et la KMS clé4567dcba-23ab-34cd-56ef-0987654321yz, qui existe dans le compte cible222222222222.

 {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:RevokeGrant",
                "kms:CreateGrant",
                "kms:ListGrants"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111111111111:key/1234abcd-12ab-34cd-56ef-1234567890ab",
                "arn:aws:kms:us-east-1:222222222222:key/4567dcba-23ab-34cd-56ef-0987654321yz"		
            ],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111111111111:key/1234abcd-12ab-34cd-56ef-1234567890ab",
                "arn:aws:kms:us-east-1:222222222222:key/4567dcba-23ab-34cd-56ef-0987654321yz"
            ]
        }
    ]
}

Choisissez Review policy (Examiner la politique)

Dans Nom, saisissez un nom descriptif pour la stratégie, puis sélectionnez Créer une stratégie.