Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Lemari besi yang memiliki celah udara secara logis

Ikhtisar kubah celah udara secara logis

AWS Backup menawarkan jenis brankas sekunder yang dapat menyimpan salinan cadangan dalam wadah dengan fitur keamanan tambahan. Vault yang memiliki celah udara secara logis adalah brankas khusus yang memberikan peningkatan keamanan di luar brankas cadangan standar, serta kemampuan untuk berbagi akses vault ke akun lain sehingga tujuan waktu pemulihan (RTOs) dapat lebih cepat dan lebih fleksibel jika terjadi insiden yang membutuhkan pemulihan sumber daya yang cepat.

Kubah celah udara secara logis dilengkapi dengan fitur perlindungan tambahan; setiap brankas dienkripsi dengan kunci yang AWS dimiliki, dan setiap lemari besi dilengkapi dengan mode kepatuhan Vault Lock.AWS Backup

Anda dapat memilih untuk mengintegrasikan dengan AWS Resource Access Manager(RAM) untuk berbagi vault yang memiliki celah udara secara logis dengan AWS akun lain (termasuk akun di organisasi lain) sehingga cadangan yang disimpan di dalam vault dapat dipulihkan dari akun yang digunakan untuk penyimpanan penyimpanan, jika diperlukan untuk pemulihan kehilangan data atau memulihkan pengujian.

Anda dapat melihat harga penyimpanan untuk cadangan layanan yang didukung di brankas yang memiliki celah udara secara logis di halaman harga.AWS Backup

Lihat Ketersediaan fitur berdasarkan sumber daya jenis sumber daya yang dapat Anda salin ke brankas dengan celah udara secara logis.

Kasus penggunaan untuk kubah yang memiliki celah udara secara logis

Vault yang memiliki celah udara secara logis adalah brankas sekunder yang berfungsi sebagai bagian dari strategi perlindungan data. Vault ini dapat membantu meningkatkan strategi retensi dan pemulihan organisasi Anda saat Anda menginginkan brankas untuk cadangan Anda

Pertimbangan dan keterbatasan

Bandingkan dan kontraskan dengan brankas cadangan standar

Brankas cadangan adalah jenis brankas utama dan standar yang digunakan. AWS Backup Setiap cadangan disimpan dalam brankas cadangan saat cadangan dibuat. Anda dapat menetapkan kebijakan berbasis sumber daya untuk mengelola cadangan yang disimpan di vault, seperti siklus hidup pencadangan yang disimpan di dalam vault.

Vault yang memiliki celah udara secara logis adalah brankas khusus dengan keamanan tambahan dan berbagi fleksibel untuk waktu pemulihan yang lebih cepat (). RTO Vault ini menyimpan salinan cadangan yang awalnya dibuat dan disimpan dalam brankas cadangan standar.

Brankas cadangan dapat dienkripsi dengan kunci, mekanisme keamanan yang membatasi akses ke pengguna yang dituju. Kunci ini dapat dikelola atau AWS dikelola oleh pelanggan. Selain itu, brankas cadangan dapat memiliki keamanan tambahan melalui kunci brankas; brankas yang memiliki celah udara secara logis dilengkapi dengan kunci brankas dalam mode kepatuhan.

Untuk jenis sumber daya yang dikelola sepenuhnya oleh AWS Backup, cadangan tidak dapat disalin ke brankas dengan celah udara secara logis jika AWS KMS kunci tidak diubah secara manual atau disetel sebagai KMS kunci pada saat sumber daya awal dibuat.

Buat lemari besi yang memiliki celah udara secara logis

Anda dapat membuat brankas dengan celah udara secara logis baik melalui AWS Backup konsol atau melalui kombinasi dan perintah. AWS Backup AWS RAM CLI

Setiap celah udara secara logis dilengkapi dengan kunci lemari besi dalam mode kepatuhan. Lihat AWS Backup Kunci Lemari Brankas untuk membantu menentukan nilai periode retensi yang paling sesuai untuk operasi Anda

Console

Buat brankas yang memiliki lubang udara secara logis dari konsol

1. Buka AWS Backup konsol di https://console.aws.amazon.com/backup.

2. Di panel navigasi, pilih Vaults.

3. Kedua jenis brankas akan ditampilkan. Pilih Buat brankas baru.

4. Masukkan nama untuk brankas cadangan Anda. Anda dapat memberi nama brankas Anda untuk mencerminkan apa yang akan Anda simpan di dalamnya, atau untuk membuatnya lebih mudah untuk mencari cadangan yang Anda butuhkan. Misalnya, Anda bisa menamainyaFinancialBackups.

5. Pilih tombol radio untuk brankas dengan celah udara secara logis.

6. Tetapkan periode retensi minimum.

   Nilai ini (dalam hari, bulan, atau tahun) adalah jumlah waktu terpendek cadangan dapat disimpan di lemari besi ini. Pencadangan dengan periode retensi yang lebih pendek dari nilai ini tidak dapat disalin ke brankas ini.

   Nilai minimum yang diizinkan adalah 7 hari. Nilai selama berbulan-bulan dan bertahun-tahun memenuhi minimum ini.

7. Atur periode retensi maksimum.

   Nilai ini (dalam hari, bulan, atau tahun) adalah jumlah waktu terlama cadangan dapat disimpan di lemari besi ini. Cadangan dengan periode retensi yang lebih besar dari nilai ini tidak dapat disalin ke brankas ini.

8. (Opsional) Tambahkan tag yang akan membantu Anda mencari dan mengidentifikasi brankas Anda yang memiliki celah udara secara logis. Misalnya, Anda bisa menambahkan BackupType:Financial tag.

9. Pilih Buat lemari besi.

10. Tinjau pengaturannya. Jika semua pengaturan ditampilkan seperti yang Anda inginkan, pilih Buat brankas dengan celah udara secara logis.

11. Konsol akan membawa Anda ke halaman detail brankas baru Anda. Verifikasi detail brankas seperti yang diharapkan.

12. Pilih Vaults untuk melihat brankas di akun Anda. Lemari besi Anda yang memiliki celah udara secara logis akan ditampilkan. KMSKunci akan tersedia sekitar 1 hingga 3 menit setelah pembuatan brankas. Segarkan halaman untuk melihat kunci terkait. Setelah kunci terlihat, lemari besi dalam keadaan tersedia dan dapat digunakan.

AWS CLI

Buat brankas yang memiliki lubang udara secara logis dari CLI

Anda dapat menggunakannya AWS CLI untuk melakukan operasi secara terprogram untuk kubah yang memiliki celah udara secara logis. Masing-masing CLI khusus untuk AWS layanan di mana ia berasal. Perintah yang terkait dengan berbagi ditambahkan denganaws ram; semua perintah lainnya harus ditambahkan dengan. aws backup

Gunakan CLI perintah create-logically-air-gapped-backup-vault, dimodifikasi dengan parameter berikut:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1 // optional
--backup-vault-name sampleName // required
--min-retention-days 7 // required Value must be an integer 7 or greater
--max-retention-days 35 // required
--creator-request-id 123456789012-34567-8901 // optional

Contoh CLI perintah untuk membuat brankas yang memiliki celah udara secara logis:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--creator-request-id 123456789012-34567-8901 // optional

Lihat elemen CreateLogicallyAirGappedBackupVault API respons untuk informasi setelah operasi pembuatan. Jika operasi berhasil, brankas baru yang memiliki celah udara secara logis akan memiliki. VaultState CREATING

Setelah pembuatan selesai dan kunci KMS terenkripsi telah ditetapkan, VaultState akan beralih ke. AVAILABLE Setelah tersedia, lemari besi dapat digunakan. VaultStatedapat diambil dengan menelepon DescribeBackupVaultatau ListBackupVaults.

Lihat detail brankas dengan celah udara secara logis

Anda dapat melihat detail vault seperti ringkasan, titik pemulihan, sumber daya yang dilindungi, berbagi akun, kebijakan akses, dan tag melalui AWS Backup konsol atau. AWS Backup CLI

Console

1. Buka AWS Backup konsol di https://console.aws.amazon.com/backup.

2. Pilih Vaults dari navigasi sebelah kiri.

3. Di bawah deskripsi brankas akan ada dua daftar, Vault yang dimiliki oleh akun ini dan Vaults dibagikan dengan akun ini. Pilih tab yang diinginkan untuk melihat brankas.

4. Di bawah nama Vault, klik nama brankas untuk membuka halaman detail. Anda dapat melihat ringkasan, titik pemulihan, sumber daya yang dilindungi, berbagi akun, kebijakan akses, dan detail tag.

   Detail ditampilkan tergantung pada jenis akun: Akun yang memiliki brankas dapat melihat berbagi akun; akun yang tidak memiliki brankas tidak akan dapat melihat berbagi akun.

AWS CLI

Lihat detail brankas yang memiliki celah udara secara logis CLI

CLIPerintah ini describe-backup-vaultdapat digunakan untuk mendapatkan detail tentang lemari besi. Parameter backup-vault-name diperlukan; region adalah opsional.

aws backup describe-backup-vault
--region us-east-1
--backup-vault-name testvaultname

Contoh respon:

{
"BackupVaultName": "LOG-AIR-GAP-VAULT-TEST",
"BackupVaultArn": "arn:aws:backup:us-east-1:234567890123:backup-vault:IAD-LAGV-01",
"VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
"CreationDate": "2024-07-25T16:05:23.554000-07:00",
"NumberOfRecoveryPoints": 0,
"Locked": true,
"MinRetentionDays": 8,
"MaxRetentionDays": 30,
"LockDate": "2024-07-25T16:05:23.554000-07:00"
}

Salin ke brankas yang memiliki celah udara secara logis

Logika air-gapped vaults hanya dapat menjadi target tujuan pekerjaan salinan dalam rencana cadangan atau target untuk pekerjaan salinan sesuai permintaan.

Enkripsi yang kompatibel

Pekerjaan penyalinan yang berhasil dari brankas cadangan ke brankas dengan celah udara secara logis memerlukan kunci enkripsi yang ditentukan oleh jenis sumber daya yang disalin.

Saat Anda menyalin cadangan dari jenis sumber daya yang dikelola sepenuhnya, cadangan sumber di (brankas cadangan standar) dapat dienkripsi oleh kunci yang dikelola pelanggan atau dengan kunci terkelola AWS .

Saat Anda menyalin cadangan jenis sumber daya lain (yang tidak dikelola sepenuhnya), cadangan dan sumber daya yang dicadangkannya harus dienkripsi dengan kunci yang dikelola pelanggan. AWS kunci terkelola untuk jenis sumber daya tidak didukung untuk salinan.

Salin ke brankas yang memiliki celah udara secara logis melalui rencana cadangan

Anda dapat menyalin cadangan (titik pemulihan) dari brankas cadangan standar ke brankas dengan celah udara secara logis dengan membuat rencana cadangan baru atau memperbarui yang sudah ada di AWS Backup konsol atau melalui perintah dan. AWS CLI create-backup-planupdate-backup-plan

Anda dapat menyalin cadangan dari satu brankas yang memiliki celah udara secara logis ke brankas lain yang memiliki celah udara sesuai permintaan (jenis cadangan ini tidak dapat dijadwalkan dalam rencana cadangan). Anda dapat menyalin cadangan dari brankas yang memiliki celah udara secara logis ke brankas cadangan standar selama salinannya dienkripsi dengan kunci yang dikelola pelanggan.

Salinan cadangan sesuai permintaan ke brankas yang memiliki celah udara secara logis

Untuk membuat salinan cadangan satu kali sesuai permintaan ke brankas yang memiliki celah udara secara logis, Anda dapat menyalin dari brankas cadangan standar. Salinan lintas wilayah atau lintas akun tersedia jika jenis sumber daya mendukung jenis salinan.

Ketersediaan salinan

Salinan cadangan dapat dibuat dari akun tempat brankas itu berada. Akun yang dengannya brankas telah dibagikan memiliki kemampuan untuk melihat atau memulihkan cadangan, tetapi tidak untuk membuat salinan.

Hanya jenis sumber daya yang mendukung salinan lintas wilayah atau lintas akun yang dapat disertakan.

Console

1. Buka AWS Backup konsol di https://console.aws.amazon.com/backup.

2. Pilih Vaults dari navigasi sebelah kiri.

3. Di halaman detail vault, semua titik pemulihan di dalam brankas itu ditampilkan. Tempatkan tanda centang di sebelah titik pemulihan yang ingin Anda salin.

4. Pilih Tindakan, lalu pilih Salin dari menu tarik-turun.

5. Pada layar berikutnya, masukkan detail tujuan.

   1. Tentukan wilayah tujuan.

   2. Menu drop-down vault cadangan tujuan menampilkan brankas tujuan yang memenuhi syarat. Pilih salah satu dengan tipe logically air-gapped vault

6. Pilih Salin setelah semua detail diatur ke preferensi Anda.

Pada halaman Pekerjaan di konsol, Anda dapat memilih Salin pekerjaan untuk melihat pekerjaan salinan saat ini.

AWS CLI

Gunakan start-copy-jobuntuk menyalin cadangan yang ada di brankas cadangan ke brankas yang memiliki celah udara secara logis.

CLIMasukan sampel:

aws backup start-copy-job
--region us-east-1
--recovery-point-arn arn:aws:resourcetype:region::snapshot/snap-12345678901234567
--source-backup-vault-name sourcevaultname
--destination-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:destinationvaultname
--iam-role-arn arn:aws:iam::123456789012:role/service-role/servicerole

Untuk informasi selengkapnya, lihat Menyalin cadangan, Pencadangan lintas wilayah, dan Pencadangan lintas akun.

Bagikan lemari besi yang memiliki celah udara secara logis

Anda dapat menggunakan AWS Resource Access Manager (RAM) untuk membagikan vault yang memiliki celah udara secara logis dengan akun lain yang Anda tentukan.

Vault dapat dibagikan dengan akun di organisasinya atau dengan akun di organisasi lain. Vault tidak dapat dibagikan dengan seluruh organisasi, hanya dengan akun di dalam organisasi.

Hanya akun dengan IAM hak istimewa tertentu yang dapat berbagi dan mengelola pembagian akun.

Untuk berbagi menggunakan AWS RAM, pastikan Anda memiliki yang berikut:

Console

1. Buka AWS Backup konsol di https://console.aws.amazon.com/backup.

2. Pilih Vaults dari navigasi sebelah kiri.

3. Di bawah deskripsi brankas akan ada dua daftar, Vault yang dimiliki oleh akun ini dan Vaults dibagikan dengan akun ini. Brankas yang dimiliki oleh akun memenuhi syarat untuk dibagikan.

4. Di bawah nama Vault, pilih nama brankas yang memiliki celah udara secara logis untuk membuka halaman detail.

5. Panel berbagi akun menunjukkan dengan akun mana vault sedang dibagikan.

6. Untuk mulai berbagi dengan akun lain atau mengedit akun yang sudah dibagikan, pilih Kelola berbagi.

7. AWS RAM Konsol terbuka saat Kelola berbagi dipilih. Untuk langkah-langkah untuk berbagi sumber daya menggunakan AWS RAM, lihat Membuat bagian sumber daya AWS RAM di Panduan AWS RAM Pengguna.

8. Akun yang diundang untuk menerima undangan untuk menerima bagian memiliki 12 jam untuk menerima undangan. Lihat Menerima dan menolak undangan berbagi sumber daya di Panduan Pengguna.AWS RAM

9. Jika langkah berbagi selesai dan diterima, halaman ringkasan vault akan ditampilkan di bawah Berbagi akun = “Dibagikan - lihat tabel berbagi akun di bawah”.

AWS CLI

AWS RAM menggunakan CLI perintahcreate-resource-share. Akses ke perintah ini hanya tersedia untuk akun dengan izin yang memadai. Lihat Membuat berbagi sumber daya AWS RAM untuk CLI langkah-langkah.

Langkah 1 hingga 4 dilakukan dengan akun yang memiliki brankas celah udara secara logis. Langkah 5 hingga 8 dilakukan dengan akun yang digunakan untuk berbagi brankas yang memiliki celah udara secara logis.

1. Masuk ke akun pemilik ATAU minta pengguna di organisasi Anda dengan kredensi yang cukup untuk mengakses akun sumber menyelesaikan langkah-langkah ini.

   1. Jika pembagian sumber daya sebelumnya dibuat dan Anda ingin menambahkan sumber daya tambahan ke dalamnya, gunakan CLI associate-resource-share sebagai gantinya dengan brankas baru. ARN

2. Ambil kredensi peran dengan izin yang cukup untuk dibagikan melalui. RAM Masukkan ini ke dalam CLI.

   1. Izin ram:CreateResourceShare diperlukan untuk prosedur ini. Kebijakan ini AWSResourceAccessManagerFullAccessberisi semua izin RAM terkait -.

3. Gunakan create-resource-share.

   1. Sertakan lemari ARN besi yang memiliki lubang udara secara logis.

   2. Contoh masukan:

      aws ram create-resource-share
      --name MyLogicallyAirGappedVault
      --resource-arns arn:aws:backup:us-east-1:123456789012:backup-vault:test-vault-1
      --principals 123456789012
      --region us-east-1

   3. Contoh output:

      {
         "resourceShare":{
            "resourceShareArn":"arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543",
            "name":"MyLogicallyAirGappedVault",
            "owningAccountId":"123456789012",
            "allowExternalPrincipals":true,
            "status":"ACTIVE",
            "creationTime":"2021-09-14T20:42:40.266000-07:00",
            "lastUpdatedTime":"2021-09-14T20:42:40.266000-07:00"
         }
      }

4. Salin bagian sumber daya ARN dalam output (yang diperlukan untuk langkah selanjutnya). Berikan ARN kepada operator akun yang Anda undang untuk menerima bagian.

5. Dapatkan pembagian sumber daya ARN

   1. Jika Anda tidak melakukan langkah 1 sampai 4, dapatkan resourceShareArn dari siapa pun yang melakukannya.

   2. Contoh: arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543

6. DalamCLI, asumsikan kredensional akun penerima.

7. Dapatkan undangan berbagi sumber daya dengan get-resource-share-invitations. Untuk informasi selengkapnya, lihat Menerima dan menolak undangan di Panduan Pengguna.AWS RAM

8. Terima undangan di akun tujuan (pemulihan).

   1. Gunakan accept-resource-share-invitation(bisa juga reject-resource-share-invitation).

Anda dapat menggunakan AWS RAM CLI perintah untuk melihat item bersama:

• Sumber daya yang telah Anda bagikan:

  aws ram list-resources --resource-owner SELF --resource-type backup:backup-vault --region us-east-1

• Tunjukkan kepala sekolah:

  aws ram get-resource-share-associations --association-type PRINCIPAL --region us-east-1

• Sumber daya yang dibagikan oleh akun lain:

  aws ram list-resources --resource-owner OTHER-ACCOUNTS --resource-type backup:backup-vault --region us-east-1

Kembalikan cadangan dari brankas yang memiliki celah udara secara logis

Anda dapat memulihkan cadangan yang disimpan dalam brankas yang memiliki celah udara secara logis baik dari akun yang memiliki brankas atau dari akun mana pun yang digunakan untuk berbagi brankas.

Lihat Memulihkan cadangan untuk informasi tentang cara memulihkan titik pemulihan melalui AWS Backup konsol.

Setelah cadangan dibagikan dari brankas yang memiliki celah udara secara logis ke akun Anda, Anda dapat menggunakannya start-restore-jobuntuk memulihkan cadangan.

CLIMasukan sampel dapat mencakup perintah dan parameter berikut:

aws backup start-restore-job
--recovery-point-arn arn:aws:backup:us-east-1:accountnumber:recovery-point:RecoveryPointID
--metadata {\"availabilityzone\":\"us-east-1d\"}
--idempotency-token TokenNumber
--resource-type ResourceType
--iam-role arn:aws:iam::number:role/service-role/servicerole
--region us-east-1

Hapus brankas yang memiliki celah udara secara logis

Lihat menghapus brankas cadangan untuk menghapus vault. Vault tidak dapat dihapus jika masih berisi cadangan (titik pemulihan). Pastikan vault kosong dari cadangan sebelum Anda memulai operasi penghapusan.

Penghapusan vault juga menghapus kunci yang terkait dengan vault tujuh hari setelah vault dihapus sesuai dengan kebijakan penghapusan kunci.

CLIPerintah contoh berikut delete-backup-vaultdapat digunakan untuk menghapus vault.

aws backup delete-backup-vault
--region us-east-1 
--backup-vault-name testvaultname

Opsi terprogram tambahan untuk kubah celah udara secara logis

CLIPerintah list-backup-vaultsdapat dimodifikasi untuk mencantumkan semua brankas yang dimiliki oleh dan hadir di akun:

aws backup list-backup-vaults
--region us-east-1

Untuk membuat daftar hanya brankas yang memiliki celah udara secara logis, tambahkan parameternya

--by-vault-type LOGICALLY_AIR_GAPPED_BACKUP_VAULT

Sertakan parameter by-shared untuk memfilter daftar brankas yang dikembalikan untuk hanya menampilkan brankas celah udara yang dibagikan secara logis.

aws backup list-backup-vaults
--region us-east-1
--by-shared

Memecahkan masalah brankas yang memiliki celah udara secara logis

Jika Anda mengalami kesalahan selama alur kerja, lihat contoh kesalahan berikut dan resolusi yang disarankan:

AccessDeniedException

Kesalahan: An error occured (AccessDeniedException) when calling the [command] operation: Insufficient privileges to perform this action."

Kemungkinan penyebabnya: Parameter --backup-vault-account-id tidak disertakan saat salah satu permintaan berikut dijalankan di brankas yang dibagikan olehRAM:

Resolusi: Coba lagi perintah yang mengembalikan kesalahan, tetapi sertakan parameter --backup-vault-account-id yang menentukan akun yang memiliki brankas.

OperationNotPermittedException

Kesalahan: OperationNotPermittedException dikembalikan setelah CreateResourceShare panggilan.

Kemungkinan penyebabnya: Jika Anda mencoba berbagi sumber daya, seperti brankas yang memiliki celah udara secara logis, dengan organisasi lain, Anda mungkin mendapatkan pengecualian ini. Vault dapat dibagikan dengan akun di organisasi lain, tetapi tidak dapat dibagikan dengan organisasi lain itu sendiri.

Resolusi: Coba lagi operasi, tetapi tentukan akun sebagai nilai untuk principals alih-alih organisasi atau OU.