View a markdown version of this page

Prasyarat - Menara Kontrol AWS

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Prasyarat

Sebelum Anda dapat mengatur AWS Backup sumber daya AWS Control Tower, Anda harus memiliki AWS Organizations organisasi yang sudah ada. Jika Anda sudah menyiapkan zona pendaratan AWS Control Tower, itu berfungsi sebagai organisasi Anda yang ada.

Anda harus mengalokasikan atau membuat dua AWS akun lain yang tidak terdaftar di AWS Control Tower. Akun-akun ini menjadi akun cadangan pusat dan akun administrator cadangan. Beri nama akun ini dengan nama-nama itu.

Selain itu, Anda harus memilih atau membuat kunci Multi-wilayah AWS Key Management Service (KMS), khusus untuk AWS Backup.

Mendefinisikan prasyarat Anda

  • Akun cadangan pusat — Akun cadangan pusat menyimpan brankas cadangan AWS Control Tower dan cadangan Anda. Vault ini dibuat di semua Wilayah AWS yang diatur AWS Control Tower, di dalam akun ini. Cross-account salinan disimpan di akun ini, jika akun dikompromikan dan memerlukan pemulihan data.

  • Akun administrator cadangan — Akun administrator cadangan adalah akun administrator yang didelegasikan untuk AWS Backup layanan di AWS Control Tower. Ini menyimpan rencana laporan Backup Audit Manager (BAM). Akun ini mengumpulkan semua data pemantauan cadangan, seperti pekerjaan pemulihan dan pekerjaan menyalin. Data disimpan dalam bucket Amazon S3. Untuk informasi selengkapnya, lihat Membuat rencana laporan menggunakan AWS Backup konsol di Panduan Peng AWS Backup embang.

  • Persyaratan kebijakan untuk kunci Multi-wilayah AWS KMS

    K AWS KMS unci Anda membutuhkan kebijakan kunci. Pertimbangkan kebijakan utama yang serupa dengan yang ini, yang membatasi akses ke prinsipal (pengguna dan peran) yang memiliki izin terkait dengan akun manajemen organisasi Anda:

    JSON
    {
    "Version":"2012-10-17",
    "Id": "KMS key policy",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the KMS key for organization",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:GenerateDataKey*",
                "kms:Encrypt",
                "kms:ReEncrypt*",
                "kms:GetKeyPolicy",
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "ORGANIZATION-ID"
                }
            }
        }
    ]
}

Kebijakan contoh ini memberi semua akun di organisasi Anda akses ke data cadangan terenkripsi mereka. Gunakan kunci kondisi AWS global dan kunci AWS KMS kondisi untuk menyempurnakan izin, tergantung pada prinsipal mana yang memerlukan akses ke cadangan Anda.

catatan

Kunci multi-wilayah AWS KMS Anda harus direplikasi untuk setiap Wilayah AWS yang Anda rencanakan untuk diatur dengan AWS Control Tower.