Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Controllo accessi

È possibile disporre di credenziali valide per autenticare le richieste, ma a meno che non si disponga delle autorizzazioni appropriate, non è possibile accedere a AWS Backup risorse come gli archivi di backup. Inoltre, non è possibile eseguire il backup di AWS risorse come i volumi Amazon Elastic Block Store (AmazonEBS).

Ogni AWS risorsa è di proprietà di un Account AWS utente e le autorizzazioni per creare o accedere a una risorsa sono regolate da politiche di autorizzazione. Un amministratore di account può allegare politiche di autorizzazione a AWS Identity and Access Management (IAM) identità (ovvero utenti, gruppi e ruoli). Anche alcuni servizi supportano il collegamento di policy di autorizzazione alle risorse.

Un amministratore account (o un utente amministratore) è un utente con autorizzazioni di amministratore. Per ulteriori informazioni, consulta IAMBest Practices nella Guida per l'IAMutente.

Quando si concedono le autorizzazioni, è necessario specificare gli utenti che le riceveranno e le risorse per cui si concedono, nonché le operazioni specifiche da consentire su tali risorse.

Nelle sezioni seguenti viene descritto come funzionano le policy di accesso e come si utilizzano per proteggere i backup.

Risorse e operazioni

Una risorsa è un oggetto che esiste all'interno di un servizio. AWS Backup le risorse includono piani di backup, archivi di backup e backup. Backup è un termine generico che si riferisce ai vari tipi di risorse di backup esistenti in AWS. Ad esempio, EBS gli snapshot di Amazon, gli snapshot di Amazon Relational Database Service (RDSAmazon) e i backup di Amazon DynamoDB sono tutti tipi di risorse di backup.

Nel AWS Backup, i backup vengono anche chiamati punti di ripristino. Durante l'utilizzo AWS Backup, lavori anche con le risorse di altri AWS servizi che stai cercando di proteggere, come i EBS volumi Amazon o le tabelle DynamoDB. A queste risorse sono associati Amazon Resource Names (ARNs) univoci. ARNsidentifica in modo univoco le AWS risorse. È necessario disporre di un valore ARN quando è necessario specificare una risorsa in modo inequivocabile per tutti AWS, ad esempio nelle IAM politiche o nelle chiamate. API

La tabella seguente elenca le risorse, le sottorisorse, il ARN formato e un ID univoco di esempio.

Le risorse che supportano la AWS Backup gestione completa dispongono tutte di punti di ripristino in questo formato, il che semplifica l'applicazione delle politiche di autorizzazione per proteggere tali punti di ripristinoarn:aws:backup:region:account-id::recovery-point:*. Per vedere quali risorse supportano la AWS Backup gestione completa, consulta la sezione corrispondente della Disponibilità delle funzionalità per risorsa tabella.

AWS Backup fornisce una serie di operazioni per utilizzare le AWS Backup risorse. Per un elenco di operazioni disponibili, consulta la sezione AWS Backup Azioni.

Proprietà delle risorse

È Account AWS proprietario delle risorse create nell'account, indipendentemente da chi le ha create. In particolare, il proprietario Account AWS della risorsa è l'entità principale (ovvero l'utente Account AWS root, un utente o un IAM IAM ruolo) che autentica la richiesta di creazione delle risorse. Negli esempi seguenti viene illustrato il funzionamento:

Specificare elementi delle policy: azioni, effetti e principali

Per ogni AWS Backup risorsa (vediRisorse e operazioni), il servizio definisce un insieme di API operazioni (vediAzioni). Per concedere le autorizzazioni per queste API operazioni, AWS Backup definisce una serie di azioni che è possibile specificare in una politica. L'esecuzione di un'APIoperazione può richiedere le autorizzazioni per più di un'azione.

Di seguito sono elencati gli elementi di base di una policy:

Per ulteriori informazioni sulla sintassi e sulle descrizioni delle IAM policy, consulta IAMJSONPolicy Reference nella Guida per l'utente. IAM

Per una tabella che mostra tutte le AWS Backup API azioni, vedereAPIautorizzazioni: riferimento alle azioni, alle risorse e alle condizioni.

Specifica delle condizioni in una policy

Quando si concedono le autorizzazioni, è possibile utilizzare il linguaggio delle IAM policy per specificare le condizioni in cui una politica deve avere effetto. Ad esempio, potresti decidere che una policy venga applicata solo dopo una data specifica. Per ulteriori informazioni sulla specificazione delle condizioni in un linguaggio di policy, consulta Condition nella Guida per l'IAMutente.

AWS supporta chiavi di condizione globali e chiavi di condizione specifiche del servizio. Per visualizzare tutte le chiavi di condizione globali, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'IAMutente.

AWS Backup definisce il proprio set di chiavi di condizione. Per visualizzare un elenco di chiavi di AWS Backup condizione, vedere Condition keys for AWS Backup nel Service Authorization Reference.

APIautorizzazioni: riferimento alle azioni, alle risorse e alle condizioni

L' ogni AWS Backup API operazione, le azioni corrispondenti per le quali è possibile concedere le autorizzazioni per eseguire l'azione e la AWS risorsa per la quale è possibile concedere le autorizzazioni. Puoi specificare le azioni nel campo Action della policy e il valore della risorsa nel campo Resource. Se il campo Resource è vuoto, puoi usare il carattere jolly (*) per includere tutte le risorse.

Puoi utilizzare i tasti AWS-wide condition nelle tue AWS Backup politiche per esprimere condizioni. Per un elenco completo delle chiavi AWS-wide, consulta Available Keys nella Guida per l'IAMutente.

Utilizzare le barre di scorrimento per visualizzare il resto della tabella.

¹ Utilizza la politica di accesso al vault esistente.

² Vedi AWS Backup risorsa ARNs per i punti di ripristino specifici della risorsa. ARNs

³ StartRestoreJob deve avere la coppia chiave-valore nei metadati della risorsa. Per ottenere i metadati della risorsa, chiama il. GetRecoveryPointRestoreMetadata API

⁴ Alcuni tipi di risorse richiedono che il ruolo che esegue il backup disponga di un'autorizzazione specifica per l'etichettatura backup:TagResource se si prevede di includere i tag delle risorse originali nel backup o di aggiungere tag aggiuntivi a un backup. Qualsiasi backup con una lettera ARN iniziale arn:aws:backup:region:account-id:recovery-point: o un backup continuo richiede questa autorizzazione. backup:TagResourcel'autorizzazione deve essere applicata a "resourcetype": "arn:aws:backup:region:account-id:recovery-point:*"

Per ulteriori informazioni, consulta Operazioni, risorse e chiavi di condizione per AWS Backup nella Documentiazione di riferimento per l'autorizzazione al servizio.

Autorizzazioni di copia di tag

Quando AWS Backup esegue un processo di backup o copia, tenta di copiare i tag dalla risorsa di origine (o dal punto di ripristino in caso di copia) al punto di ripristino.

Durante un processo di backup o copia, AWS Backup aggrega i tag specificati nel piano di backup (o piano di copia o backup su richiesta) con i tag della risorsa di origine. Tuttavia, AWS impone un limite di 50 tag per risorsa, che AWS Backup non può essere superato. Quando un processo di backup o copia aggrega i tag dal piano e dalla risorsa di origine, potrebbe rilevare più di 50 tag in totale. In questo caso non sarà in grado di completare il processo ed esso fallirà. Ciò è coerente con le migliori pratiche AWS di etichettatura a livello globale. Per ulteriori informazioni, consulta Limiti dei tag nella Guida di riferimento generale di AWS .

Puoi utilizzare il tuo piano di backup per creare tag che contraddicano i tag delle risorse di origine. Quando i due sono in conflitto, i tag del piano di backup hanno la precedenza. Utilizza questa tecnica se preferisci non copiare il valore di un tag dalla risorsa di origine. Specificate la stessa chiave di tag, ma un valore diverso o vuoto, utilizzando il piano di backup.

DynamoDB non supporta l'assegnazione di tag ai backup a meno che non venga prima abilitato Backup di DynamoDB avanzato.

Quando un EC2 backup Amazon crea un Image Recovery Point e un set di istantanee, AWS Backup copia i tag nel risultatoAMI. AWS Backup copia inoltre i tag dai volumi associati all'EC2istanza Amazon negli snapshot risultanti.

Policy di accesso

La policy delle autorizzazioni descrive chi ha accesso a cosa. Le politiche associate a un'IAMidentità sono denominate politiche basate sull'identità (politiche). IAM Le politiche associate a una risorsa vengono chiamate politiche basate sulle risorse. AWS Backup supporta sia politiche basate sull'identità che politiche basate sulle risorse.

Politiche basate sull'identità (politiche) IAM

Le politiche basate sull'identità sono politiche che è possibile allegare alle IAM identità, ad esempio utenti o ruoli. Ad esempio, è possibile definire una policy che consenta a un utente di visualizzare ed eseguire il backup AWS delle risorse, ma che impedisca loro di ripristinare i backup.

Per ulteriori informazioni su utenti, gruppi, ruoli e autorizzazioni, consulta Identità (utenti, gruppi e ruoli) nella Guida per l'utente. IAM

Per informazioni su come utilizzare IAM le policy per controllare l'accesso ai backup, vedere. Politiche gestite per AWS Backup

Policy basate su risorse

AWS Backup supporta politiche di accesso basate sulle risorse per gli archivi di backup. Questo permette di definire una policy di accesso che possa controllare di quali tipi di accesso a uno qualsiasi dei backup organizzati in un vault di backup dispongono gli utenti. Le policy di accesso basate su risorse per i vault di backup offrono un modo semplice per controllare l'accesso ai backup.

Le policy di accesso di Backup Vault controllano l'accesso degli utenti durante l'utilizzo AWS Backup APIs. È possibile accedere anche ad alcuni tipi di backup, come gli snapshot di Amazon Elastic Block Store (AmazonEBS) e RDS Amazon Relational Database Service (Amazon), utilizzando tali servizi». APIs È possibile creare policy di accesso separate IAM che controllino l'accesso a queste ultime APIs in modo da controllare completamente l'accesso ai backup.

Per informazioni su come creare una policy di accesso per i vault di backup, consulta Policy di accesso dei vault.