Kontrol akses - AWS Backup
Sumber daya dan operasiKepemilikan sumber dayaMenentukan elemen kebijakan: tindakan, efek, dan prinsipMenentukan kondisi dalam kebijakanAPIReferensi IzinIzin menyalin tagKebijakan akses

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kontrol akses

Anda dapat memiliki kredensi yang valid untuk mengautentikasi permintaan Anda, tetapi kecuali Anda memiliki izin yang sesuai, Anda tidak dapat mengakses AWS Backup sumber daya seperti brankas cadangan. Anda juga tidak dapat mencadangkan AWS sumber daya seperti volume Amazon Elastic Block Store (AmazonEBS).

Setiap AWS sumber daya dimiliki oleh Akun AWS, dan izin untuk membuat atau mengakses sumber daya diatur oleh kebijakan izin. Administrator akun dapat melampirkan kebijakan izin ke AWS Identity and Access Management (IAM) identitas (yaitu, pengguna, grup, dan peran). Dan beberapa layanan juga mendukung melampirkan kebijakan izin ke sumber daya.

Administrator akun (atau pengguna administrator) adalah pengguna dengan izin administrator. Untuk informasi selengkapnya, lihat Praktik IAM Terbaik di Panduan IAM Pengguna.

Ketika memberikan izin, Anda memutuskan siap yang mendapatkan izin, sumber daya yang mereka dapatkan izinnya, dan tindakan khusus yang ingin Anda izinkan di sumber daya tersebut.

Bagian berikut mencakup cara kerja kebijakan akses dan cara Anda menggunakannya untuk melindungi cadangan Anda.

Sumber daya dan operasi

Sumber daya adalah objek yang ada dalam layanan. AWS Backup sumber daya termasuk rencana cadangan, brankas cadangan, dan cadangan. Backup adalah istilah umum yang mengacu pada berbagai jenis sumber daya cadangan yang ada di dalamnya AWS. Misalnya, EBS snapshot Amazon, snapshot Amazon Relational Database Service (Amazon), dan backup RDS Amazon DynamoDB adalah semua jenis sumber daya cadangan.

Pada tahun AWS Backup, cadangan juga disebut sebagai titik pemulihan. Saat menggunakan AWS Backup, Anda juga bekerja dengan sumber daya dari AWS layanan lain yang Anda coba lindungi, seperti EBS volume Amazon atau tabel DynamoDB. Sumber daya ini memiliki Nama Sumber Daya Amazon (ARNs) unik yang terkait dengannya. ARNsmengidentifikasi AWS sumber daya secara unik. Anda harus memiliki ARN kapan Anda perlu menentukan sumber daya secara jelas di semua AWS, seperti dalam IAM kebijakan atau API panggilan.

Tabel berikut mencantumkan sumber daya, subresource, ARN format, dan contoh ID unik.

AWS Backup sumber daya ARNs
Jenis sumber daya ARNformat Contoh ID unik
Paket Backup arn:aws:backup:region:account-id:backup-plan:*
Brankas cadangan arn:aws:backup:region:account-id:backup-vault:*
Titik pemulihan untuk Amazon EBS arn:aws:ec2:region::snapshot/* snapshot/snap-05f426fd8kdjb4224
Titik pemulihan untuk EC2 gambar Amazon arn:aws:ec2:region::image/ami-* image/ami-1a2b3e4f5e6f7g890
Titik pemulihan untuk Amazon RDS arn:aws:rds:region:account-id:snapshot:awsbackup:* awsbackup:job-be59cf2a-2343-4402-bd8b-226993d23453
Titik pemulihan untuk Aurora arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-be59cf2a-2343-4402-bd8b-226993d23453
Titik pemulihan untuk Storage Gateway arn:aws:ec2:region::snapshot/* snapshot/snap-0d40e49137e31d9e0
Titik pemulihan untuk DynamoDB tanpa Cadangan DynamoDB tingkat lanjut arn:aws:dynamodb:region:account-id:table/*/backup/* table/MyDynamoDBTable/backup/01547087347000-c8b6kdk3
Titik pemulihan untuk DynamoDB dengan diaktifkan Cadangan DynamoDB tingkat lanjut arn:aws:backup:region:account-id:recovery-point:* 12a34a56-7bb8-901c-cd23-4567d8e9ef01
Titik pemulihan untuk Amazon EFS arn:aws:backup:region:account-id:recovery-point:* d99699e7-e183-477e-bfcd-ccb1c6e5455e
Titik pemulihan untuk Amazon FSx arn:aws:fsx:region:account-id:backup/backup-* backup/backup-1a20e49137e31d9e0
Titik pemulihan untuk mesin virtual arn:aws:backup:region:account-id:recovery-point:* 1801234a-5b6b-7dc8-8032-836f7ffc623b
Titik pemulihan untuk pencadangan berkelanjutan Amazon S3 arn:aws:backup:region:account-id:recovery-point:* amzn-s3-demo-bucket-5ec207d0
Titik pemulihan untuk cadangan berkala S3 arn:aws:backup:region:account-id:recovery-point:* amzn-s3-demo-bucket-20211231900000-5ec207d0
Titik pemulihan untuk Amazon DocumentDB arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Titik pemulihan untuk Neptunus arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Titik pemulihan untuk Amazon Redshift arn:aws:redshift:region:account-id:snapshot:resource/awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Titik pemulihan untuk Amazon Timestream arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012_beta
Titik pemulihan untuk AWS CloudFormation template arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012
Titik pemulihan untuk SAP HANA database pada EC2 instans Amazon arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012

Sumber daya yang mendukung AWS Backup manajemen penuh semuanya memiliki titik pemulihan dalam formatarn:aws:backup:region:account-id::recovery-point:*. Memudahkan Anda menerapkan kebijakan izin untuk melindungi titik pemulihan tersebut. Untuk melihat sumber daya mana yang mendukung AWS Backup manajemen penuh, lihat bagian Ketersediaan fitur berdasarkan sumber daya tabel tersebut.

AWS Backup menyediakan satu set operasi untuk bekerja dengan AWS Backup sumber daya. Untuk daftar operasi yang tersedia, lihat AWS Backup Tindakan.

Kepemilikan sumber daya

Akun AWS Memiliki sumber daya yang dibuat di akun, terlepas dari siapa yang menciptakan sumber daya. Secara khusus, pemilik sumber daya adalah entitas utama (yaitu, pengguna Akun AWS root, IAM pengguna, atau IAM peran) yang mengautentikasi permintaan pembuatan sumber daya. Akun AWS Contoh berikut menggambarkan cara kerjanya:

  • Jika Anda menggunakan kredensi pengguna Akun AWS root Anda Akun AWS untuk membuat brankas cadangan, Anda Akun AWS adalah pemilik brankas.

  • Jika Anda membuat IAM pengguna di dalam Akun AWS dan memberikan izin untuk membuat brankas cadangan kepada pengguna tersebut, pengguna dapat membuat brankas cadangan. Namun, AWS akun Anda, tempat pengguna berada, memiliki sumber daya brankas cadangan.

  • Jika Anda membuat IAM peran Akun AWS dengan izin untuk membuat brankas cadangan, siapa pun yang dapat mengambil peran tersebut dapat membuat vault. Anda Akun AWS, yang menjadi milik peran tersebut, memiliki sumber daya brankas cadangan.

Menentukan elemen kebijakan: tindakan, efek, dan prinsip

Untuk setiap AWS Backup sumber daya (lihatSumber daya dan operasi), layanan mendefinisikan satu set API operasi (lihatTindakan). Untuk memberikan izin untuk API operasi ini, AWS Backup tentukan serangkaian tindakan yang dapat Anda tentukan dalam kebijakan. Melakukan API operasi dapat memerlukan izin untuk lebih dari satu tindakan.

Berikut adalah elemen-elemen kebijakan yang paling dasar:

  • Sumber Daya — Dalam kebijakan, Anda menggunakan Amazon Resource Name (ARN) untuk mengidentifikasi sumber daya yang diterapkan kebijakan tersebut. Untuk informasi selengkapnya, lihat Sumber daya dan operasi.

  • Tindakan – Anda menggunakan kata kunci tindakan untuk mengidentifikasi operasi sumber daya yang ingin Anda izinkan atau tolak.

  • Efek – Anda menentukan efek ketika pengguna meminta tindakan tertentu—efek ini dapat berupa pemberian izin atau penolakan. Jika Anda tidak secara eksplisit memberikan akses ke (mengizinkan) sumber daya, akses akan ditolak secara implisit. Anda juga dapat secara eksplisit menolak akses ke sumber daya, yang mungkin Anda lakukan untuk memastikan bahwa pengguna tidak dapat mengaksesnya, meskipun ada akses memberikan kebijakan yang berbeda.

  • Principal — Dalam kebijakan (IAMkebijakan) berbasis identitas, pengguna yang melekat pada kebijakan tersebut adalah prinsipal implisit. Untuk kebijakan berbasis sumber daya, Anda menentukan pengguna, akun, layanan, atau entitas lain yang diinginkan untuk menerima izin (berlaku hanya untuk kebijakan berbasis sumber daya).

Untuk mempelajari lebih lanjut tentang sintaks dan deskripsi IAM kebijakan, lihat Referensi IAM JSON Kebijakan di IAMPanduan Pengguna.

Untuk tabel yang menunjukkan semua AWS Backup API tindakan, lihatAPIizin: referensi tindakan, sumber daya, dan kondisi.

Menentukan kondisi dalam kebijakan

Saat memberikan izin, Anda dapat menggunakan bahasa IAM kebijakan untuk menentukan kondisi kapan kebijakan harus diterapkan. Misalnya, Anda mungkin ingin kebijakan diterapkan hanya setelah tanggal tertentu. Untuk informasi selengkapnya tentang menentukan kondisi dalam bahasa kebijakan, lihat Kondisi di Panduan IAM Pengguna.

AWS mendukung kunci kondisi global dan kunci kondisi khusus layanan. Untuk melihat semua kunci kondisi global, lihat kunci konteks kondisi AWS global di Panduan IAM Pengguna.

AWS Backup mendefinisikan set sendiri dari kunci kondisi. Untuk melihat daftar kunci AWS Backup kondisi, lihat Kunci kondisi untuk AWS Backup dalam Referensi Otorisasi Layanan.

APIizin: referensi tindakan, sumber daya, dan kondisi

Saat menyiapkan Kontrol akses dan menulis kebijakan izin yang dapat dilampirkan ke IAM identitas (kebijakan berbasis identitas), Anda dapat menggunakan tabel berikut sebagai referensi. setiap AWS Backup API operasi, tindakan terkait yang dapat Anda berikan izin untuk melakukan tindakan, dan AWS sumber daya yang dapat Anda berikan izin. Anda menentukan tindakan dalam bidang Action kebijakan, dan Anda menentukan nilai sumber daya pada bidang Resource kebijakan. Jika Resource bidang kosong, Anda dapat menggunakan wildcard (*) untuk menyertakan semua sumber daya.

Anda dapat menggunakan kunci kondisi AWS-wide dalam AWS Backup kebijakan Anda untuk menyatakan kondisi. Untuk daftar lengkap tombol AWS-wide, lihat Kunci yang Tersedia di Panduan IAM Pengguna.

Gunakan bilah gulir untuk melihat seluruh tabel.

1 Menggunakan kebijakan akses vault yang ada.

2 Lihat AWS Backup sumber daya ARNs untuk titik pemulihan khusus sumber daya. ARNs

3 StartRestoreJob harus memiliki pasangan kunci-nilai dalam metadata untuk sumber daya. Untuk mendapatkan metadata sumber daya, hubungi file. GetRecoveryPointRestoreMetadata API

4 Jenis sumber daya tertentu memerlukan peran yang melakukan pencadangan untuk memiliki izin penandaan tertentu backup:TagResource jika Anda berencana untuk menyertakan tag sumber daya asli dalam cadangan Anda atau menambahkan tag tambahan ke cadangan. Pencadangan apa pun dengan ARN awal arn:aws:backup:region:account-id:recovery-point: atau cadangan yang berkelanjutan memerlukan izin ini. backup:TagResourceIzin harus diterapkan untuk "resourcetype": "arn:aws:backup:region:account-id:recovery-point:*"

Untuk informasi selengkapnya, lihat Kunci tindakan, sumber daya, dan kondisi AWS Backup di Referensi Otorisasi Layanan.

Izin menyalin tag

Saat AWS Backup melakukan pekerjaan pencadangan atau penyalinan, ia mencoba menyalin tag dari sumber daya sumber Anda (atau titik pemulihan dalam kasus penyalinan) ke titik pemulihan Anda.

catatan

AWS Backup tidak menyalin tag secara asli selama pekerjaan pemulihan. Untuk arsitektur berbasis peristiwa yang akan menyalin tag selama pekerjaan pemulihan, lihat Cara menyimpan tag sumber daya dalam AWS Backup memulihkan pekerjaan.

Selama pekerjaan pencadangan atau penyalinan, AWS Backup agregat tag yang Anda tentukan dalam paket cadangan (atau salin paket, atau cadangan sesuai permintaan) dengan tag dari sumber daya sumber Anda. Namun, AWS memberlakukan batas 50 tag per sumber daya, yang AWS Backup tidak dapat melebihi. Ketika pencadangan atau salinan pekerjaan mengumpulkan tag dari paket dan sumber daya, mungkin menemukan lebih dari 50 tag total, itu tidak akan dapat menyelesaikan pekerjaan, dan akan gagal dalam pekerjaan. Ini konsisten dengan praktik terbaik penandaan AWS-wide. Untuk mempelajari selengkapnya, lihat Batas tag di Panduan Referensi AWS Umum.

  • Sumber daya Anda memiliki lebih dari 50 tag setelah menggabungkan tag pekerjaan cadangan Anda dengan tag sumber daya sumber Anda. AWS mendukung hingga 50 tag per sumber daya. Untuk informasi selengkapnya, lihat Batas tag.

  • IAMPeran yang Anda berikan AWS Backup tidak memiliki izin untuk membaca tag sumber atau menyetel tag tujuan. Untuk informasi selengkapnya dan contoh kebijakan IAM peran, lihat Kebijakan Terkelola.

Anda dapat menggunakan paket cadangan untuk membuat tag yang bertentangan dengan tag sumber daya sumber Anda. Ketika kedua konflik, tag dari rencana cadangan Anda diutamakan. Gunakan teknik ini jika Anda memilih untuk tidak menyalin nilai tag dari sumber daya sumber Anda. Tentukan kunci tag yang sama, tetapi nilainya berbeda atau kosong, menggunakan paket cadangan Anda.

Izin Diperlukan untuk menetapkan tag ke cadangan
Jenis sumber daya Izin yang diperlukan
Sistem EFS file Amazon

elasticfilesystem:DescribeTags
Sistem FSx file Amazon

fsx:ListTagsForResource
RDSBasis data Amazon dan kluster Amazon Aurora

rds:AddTagsToResource

rds:ListTagsForResource
Volume Storage Gateway

storagegateway:ListTagsForResource
EC2Instans Amazon dan EBS volume Amazon

EC2:CreateTags

EC2:DescribeTags

DynamoDB tidak mendukung penetapan tag ke cadangan kecuali Anda mengaktifkan terlebih dahulu. Cadangan DynamoDB tingkat lanjut

Saat EC2 cadangan Amazon membuat Titik Pemulihan Gambar dan satu set snapshot, AWS Backup menyalin tag ke hasilAMI. AWS Backup juga menyalin tag dari volume yang terkait dengan EC2 instance Amazon ke snapshot yang dihasilkan.

Kebijakan akses

Kebijakan izin menjelaskan siapa yang memiliki akses ke suatu objek. Kebijakan yang melekat pada IAM identitas disebut sebagai kebijakan berbasis identitas (kebijakan)IAM. Kebijakan yang melekat pada sumber daya disebut sebagai kebijakan berbasis sumber daya. AWS Backup mendukung kebijakan berbasis identitas dan kebijakan berbasis sumber daya.

catatan

Bagian ini membahas penggunaan IAM dalam konteks. AWS Backup Itu tidak memberikan informasi rinci tentang IAM layanan. Untuk IAM dokumentasi lengkap, lihat Apa ituIAM? dalam IAMUser Guide. Untuk informasi tentang sintaks IAM kebijakan dan deskripsi, lihat Referensi IAM JSON Kebijakan di IAMPanduan Pengguna.

Kebijakan berbasis identitas (kebijakan IAM)

Kebijakan berbasis identitas adalah kebijakan yang dapat Anda lampirkan ke IAM identitas, seperti pengguna atau peran. Misalnya, Anda dapat menentukan kebijakan yang memungkinkan pengguna untuk melihat dan mencadangkan AWS sumber daya, tetapi mencegahnya memulihkan cadangan.

Untuk informasi selengkapnya tentang pengguna, grup, peran, dan izin, lihat Identitas (Pengguna, Grup, dan Peran) di IAMPanduan Pengguna.

Untuk informasi tentang cara menggunakan IAM kebijakan untuk mengontrol akses ke cadangan, lihat. Kebijakan terkelola untuk AWS Backup

Kebijakan berbasis sumber daya

AWS Backup mendukung kebijakan akses berbasis sumber daya untuk brankas cadangan. Ini memungkinkan Anda menentukan kebijakan akses yang dapat mengontrol pengguna mana yang memiliki jenis akses apa pun ke cadangan apa pun yang diatur dalam brankas cadangan. Kebijakan akses berbasis sumber daya untuk brankas cadangan menyediakan cara mudah untuk mengontrol akses ke cadangan Anda.

Kebijakan akses brankas cadangan mengontrol akses pengguna saat Anda menggunakan AWS Backup APIs. Beberapa jenis cadangan, seperti snapshot Amazon Elastic Block Store (AmazonEBS) dan Amazon Relational Database Service (RDSAmazon), juga dapat diakses menggunakan layanan tersebut. APIs Anda dapat membuat kebijakan akses terpisah di dalamnya IAM mengontrol akses ke mereka APIs untuk sepenuhnya mengontrol akses ke cadangan.

Untuk mempelajari cara membuat kebijakan akses untuk brankas cadangan, lihat. Kebijakan akses vault