Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Backup primari su vault logicamente isolate

Panoramica di

La funzionalità di backup primario del vault logically air-gapped offre la possibilità di specificare un vault logically air-gapped come destinazione di backup principale all'interno dello stesso account, sia per i job di backup pianificati che per quelli su richiesta. Ciò elimina la necessità di mantenere copie separate sia in un archivio di backup standard che in un archivio logicamente airgapped, riducendo i costi e semplificando i flussi di lavoro preservando i vantaggi in termini di sicurezza dell'air-gapping logico.

È possibile assegnare un vault logicamente airgapped come obiettivo principale nei piani di backup, nelle policy a livello di organizzazione o nei backup su richiesta. In precedenza, per eseguire il backup su un vault logicamente airgapped, era necessario prima creare un backup in un vault di backup e quindi copiarlo in un vault logicamente airgapped. Grazie a questa funzionalità, a seconda del tipo di risorsa, AWS Backup puoi creare backup direttamente nel tuo vault logically air-gapped o gestire automaticamente i backup temporanei che vengono copiati nel tuo vault logically air-gapped e quindi eliminati.

Il comportamento dipende da due fattori:

Non sono previsti nuovi prezzi per questa funzionalità. Ti verranno addebitati solo i backup archiviati in archivi logicamente aperti e le istantanee temporanee (durante il periodo di conservazione nel sistema) per le risorse applicabili alle tariffe prevalenti. Per i dettagli, consulta la pagina relativa ai AWS Backup prezzi.

Come funziona

Puoi utilizzare questa funzionalità aggiornando il piano di backup esistente o creandone uno nuovo e aggiungendo un ARN del vault logicamente airgapped (nome del campo:) come destinazione di backup principale. TargetLogicallyAirGappedBackupVaultArn È possibile eseguire questa operazione tramite la console o tramite i comandi CLI AWS Backup . AWS Backup

"TargetLogicallyAirGappedBackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:AirGappedVault",

Quando si specificano sia un archivio di backup che un archivio logicamente airgapped come destinazioni per i processi di backup, AWS Backup determina il flusso di lavoro appropriato in base al tipo di risorsa e alla configurazione della crittografia.

Risorse supportate per il backup primario su vault logicamente airgapped

Per visualizzare l'elenco completo delle risorse supportate per i vault logicamente air gapped, vedi la disponibilità delle funzionalità. AWS Backup Tutte le risorse che supportano i vault logicamente airgapped seguono il principio di mantenere una sola copia del backup, anziché archiviarne due copie separate, quando si utilizza questa funzionalità.

Considerazioni e limitazioni:

Risorse a supporto completo AWS Backup gestione

Alcuni tipi di risorse, come Amazon EFS, Amazon S3, Amazon DynamoDB con funzionalità AWS Backup avanzate ecc., che supportano la AWS Backup gestione completa, possono eseguire il backup direttamente nel tuo vault logicamente airgapped. Non viene creato alcun punto di ripristino nel deposito di backup e non è richiesta alcuna operazione di copia. Qualsiasi azione di copia pianificata nel piano di backup utilizza il punto di ripristino nel vault logicamente airgapped come origine.

Le risorse che supportano il backup continuo, come Amazon S3, possono anche eseguire il backup continuo direttamente su un vault logicamente airgapped.

Per un elenco dei tipi di risorse che supportano la AWS Backup gestione completa e i vault logicamente airgapped, vedi Disponibilità delle funzionalità per risorsa nelle colonne denominate «Gestione completa» e «Vault logicamente airgapped».

Risorsa che non supporta la versione completa AWS Backup gestione

Risorse come Amazon EBS/EC2, Amazon Aurora e Amazon FSx non possono eseguire il backup direttamente su vault logicamente airgapped. Per questi tipi di risorse, AWS Backup crea un punto di ripristino temporaneo nel vault di backup e quindi lo copia automaticamente nel vault logicamente airgapped.

Il punto di ripristino temporaneo ha una speciale impostazione del ciclo di vita denominata. DELETE_AFTER_COPY Una volta completata con successo la copia nel vault logically air-gapped, AWS Backup elimina automaticamente il punto di ripristino temporaneo. Tutte le altre operazioni di copia pianificate previste dal piano di backup iniziano parallelamente alla copia nel vault logically air-gapped e non influiscono sull'attuale esperienza di copia.

Se la copia nel vault logicamente airgapped fallisce, il punto di ripristino temporaneo viene mantenuto nel vault di backup in base al periodo di conservazione specificato. Ciò consente di disporre sempre di un punto di ripristino utilizzabile al termine di un processo di backup. Se il punto di ripristino viene successivamente copiato manualmente nel vault logicamente airgapped, viene automaticamente ripulito in base alla regola. DELETE_AFTER_COPY

Elimina dopo il ciclo di vita della copia

I punti di ripristino temporanei hanno un nuovo attributo del ciclo di vita chiamato DeleteAfterEvent con il valore di. DELETE_AFTER_COPY Questo attributo indica che il punto di ripristino verrà eliminato automaticamente al termine di tutti i processi di copia o dopo il periodo di conservazione specificato, a seconda dell'evento che si verifica per primo.

Un punto di ripristino temporaneo viene eliminato quando sono soddisfatte tutte le seguenti condizioni:

Se è necessario impedire l'eliminazione manuale del punto di ripristino temporaneo mentre le copie sono in corso, è consigliabile utilizzare un archivio di backup bloccato come archivio di backup di destinazione.

Backup continuo per Resource che non supporta la versione completa AWS Backup gestione

Per risorse come Amazon Aurora, se abiliti il backup continuo, AWS Backup crea un punto di ripristino continuo nel tuo archivio di backup e scatta un'istantanea temporanea che viene copiata nel tuo vault logicamente airgapped. L'istantanea temporanea deve essere eliminata automaticamente una volta completata la copia, indipendentemente dal fatto che la copia abbia esito positivo o negativo, poiché si conserva un punto di ripristino continuo nel vault di backup.

Se non desideri creare un punto di ripristino continuo per Amazon Aurora nel tuo vault di backup, ma desideri un punto di ripristino continuo per Amazon S3 nel tuo vault logically air-gapped, puoi disabilitare l'impostazione continuous backup (EnableContinuousBackup) nel piano corrente e abilitare S3 continuous da un piano diverso.

Per saperne di più sullo storage di backup Aurora, consulta Understanding of Amazon Aurora Backup Storage usage. https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/aurora-storage-backup.html#aurora-storage-backup.automated

Risorse non supportate

Se un tipo di risorsa non è supportato da archivi logicamente airgapped o se una risorsa non completamente gestita è crittografata con una chiave AWS gestita, AWS Backup crea il backup solo nel deposito di backup. Non viene tentata alcuna copia nel vault logicamente airgapped. Il processo di backup viene completato correttamente con un messaggio che indica il motivo per cui il backup non è stato trasferito nel vault logicamente airgapped.

Considerazioni sui costi

Configura logicamente il backup primario del vault con airgap

È possibile configurare logicamente il backup primario del vault airgapped tramite la console, la, o le policy di backup. AWS Backup AWS CLI AWS CloudFormation AWS Organizations

Configurare un piano di backup

Console

Per configurare logicamente il backup primario del vault airgapped per un piano di backup

1. Apri la console all'indirizzo. AWS Backup https://console.aws.amazon.com/backup

2. Nel pannello di navigazione, scegli Piani di backup, quindi scegli Crea piano di backup o seleziona un piano di backup esistente da modificare.

3. Nella sezione Configurazione delle regole di backup, specifica le impostazioni delle regole di backup.

4. Per Backup vault, scegli il deposito di backup in cui verranno archiviati i punti di ripristino temporanei (per le risorse non completamente gestite) o dove verranno archiviati i backup se non possono essere inseriti nel tuo vault logicamente airgapped.

5. Per Logically air-gapped vault (opzionale), scegli il vault logically air-gapped in cui desideri archiviare i tuoi backup.

   Nota

   Il deposito logicamente airgapped deve trovarsi nello stesso account e nella stessa regione del deposito di backup.

6. Configura le restanti impostazioni delle regole di backup, incluse le opzioni relative al ciclo di vita e alla copia.

7. Scegli Crea piano o Salva modifiche.

AWS CLI

Usa il comando CLI create-backup-plan per creare un nuovo piano o update-backup-plan per aggiornare un piano esistente e includere il TargetLogicallyAirGappedBackupVaultArn parametro nella tua regola di backup.

Esempio di comando CLI per creare un piano di backup utilizzando un documento JSON:

aws backup create-backup-plan --cli-input-json file://PATH-TO-FILE/test-backup-plan.json

Esempio di comando CLI per creare un piano di backup direttamente nella CLI:

aws backup create-backup-plan --backup-plan '{
  "BackupPlanName": "MyPlan",
  "Rules": [
    {
      "RuleName": "MyRule",
      "TargetBackupVaultName": "MyBackupVault",
      "TargetLogicallyAirGappedBackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:MyLagVault",
      "ScheduleExpression": "cron(0 1 ? * * *)",
      "ScheduleExpressionTimezone": "America/Los_Angeles",
      "StartWindowMinutes": 60,
      "CompletionWindowMinutes": 120,
      "Lifecycle": {
        "DeleteAfterDays": 35
      }
    }
  ]
}'

Configura il backup su richiesta

Console

Per configurare logicamente il backup primario del vault con airgap per un backup su richiesta

1. Apri la console all'indirizzo. AWS Backup https://console.aws.amazon.com/backup

2. Nel riquadro di navigazione selezionare Protected resources (Risorse protette).

3. Nella pagina Risorse protette, scegli Crea backup su richiesta.

4. Seleziona il tipo di risorsa e l'ARN della risorsa di cui desideri eseguire il backup.

5. Per Backup vault, scegli il backup vault.

6. Per Logically air-gapped vault (opzionale), scegli il vault logically air-gapped in cui desideri archiviare il backup.

7. Configura le impostazioni rimanenti e scegli Crea backup su richiesta.

AWS CLI

Usa il comando start-backup-job con il nuovo parametro: --logically-air-gapped-backup-vault-arn

aws backup start-backup-job \
  --backup-vault-name MyBackupVault \
  --logically-air-gapped-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:MyLagVault  \
  --resource-arn arn:aws:ec2:us-east-1:123456789012:volume/vol-abcd1234  \
  --iam-role-arn arn:aws:iam::123456789012:role/service-role/AWSBackupDefaultServiceRole  \
  --lifecycle DeleteAfterDays=35

Monitora logicamente il backup primario del vault con airgap

Puoi monitorare lo stato dei backup e dei processi di copia utilizzando la AWS Backup console o gli eventi Amazon. AWS CLI EventBridge

Monitora i processi di backup

Monitora lo stato dei processi di backup (DescribeBackupJob) per garantire che le risorse rimangano protette. Un processo di backup non riuscito indica che non è stato creato alcun punto di ripristino.

Monitora i lavori di copia

Monitora i lavori di copia (ListCopyJobs) nel tuo vault logicamente airgapped per individuare eventuali errori. Un processo di copia non riuscito significa che il punto di ripristino rimane nel vault di backup standard senza una protezione del vault logicamente airgapped.

Monitora il punto di ripristino

Monitora i punti di EXPIRED ripristino (ListRecoveryPointsByBackupVault), il che AWS Backup potrebbe indicare che non è stato possibile eliminarli (probabilmente a causa della mancanza di autorizzazioni). EXPIREDi punti di ripristino possono avere implicazioni in termini di costi.

Onboarding e migrazione

Se attualmente utilizzi le azioni di copia per copiare i backup su un vault logicamente air gapped, puoi migrare al backup primario con vault logicamente air gapped per ridurre i costi. Puoi anche migrare i backup continui di Amazon S3 esistenti da un vault di backup a un vault logicamente airgapped. Questa guida spiega i prerequisiti e i passaggi necessari per migrare alla funzionalità di backup principale del vault logically air-gapped.

Prerequisiti e best practice

Prima di poter utilizzare in modo efficace la funzionalità di backup principale del vault logicamente airgapped, esistono i prerequisiti e le best practice consigliate.

Prerequisiti

Attualmente, un vault logicamente airgapped come destinazione di backup principale supporta solo i backup all'interno dello stesso account e della stessa regione delle risorse di backup. AWS AWS Logicamente, i backup del vault con airgap sono memorizzati intrinsecamente in account di servizio separati, garantendo l'isolamento tra account e organizzazioni senza richiedere copie su account separati. Se hai bisogno di backup interregionali, continua a utilizzare il deposito logicamente airgapped come destinazione per le copie. Prima di passare a questa funzionalità, assicurati di soddisfare i seguenti requisiti:

Best practice

Pianificazione della migrazione

Risorse a supporto completo AWS Backup percorso di migrazione gestionale

Per le risorse completamente gestite, è possibile eseguire il backup direttamente nel vault logicamente airgapped senza richiedere operazioni di copia.

Per backup basati su istantanee

Questo processo si applica a tutti gli scenari di snapshot, indipendentemente dal fatto che il vault di backup sia bloccato. Quando si esegue la migrazione di un piano di backup esistente o si utilizza un archivio di backup esistente (primario) e un vault logicamente airgapped (copia) in un nuovo piano di backup:

Per i backup continui di Amazon S3

Logicamente, il vault airgapped come destinazione di backup principale supporta il backup continuo per Amazon S3. Tuttavia, è possibile mantenere un solo punto di ripristino continuo attivo per risorsa in un singolo vault. Se disponi di un punto di ripristino continuo Amazon S3 attivo, devi dissociarlo o eliminarlo prima di crearne uno nuovo in un altro vault. L'aggiunta di una destinazione del vault logicamente airgapped (dallo stesso account) al piano di backup, con un punto di ripristino continuo Amazon S3 attivo esistente, causerà il fallimento del processo di backup continuo.

Per migrare il tuo punto di ripristino continuo Amazon S3 al tuo vault logically air gapped da un vault di backup sbloccato:

Per migrare il punto di ripristino continuo di Amazon S3 al vault logicamente airgapped da un vault di backup bloccato:

Risorse che non supportano completamente AWS Backup percorso di migrazione della gestione

Non-fully le risorse gestite richiedono un'operazione di copia nel vault logicamente airgapped. Il processo crea un punto di ripristino temporaneo (fatturabile) nel deposito di backup standard, che viene automaticamente copiato nel vault logicamente airgapped e quindi eliminato al termine della copia. Quando si aggiorna il piano di backup per includere una destinazione del vault logicamente airgapped:

Risoluzione dei problemi

Il processo di backup o copia non riesce a causa di un errore di incompatibilità del ciclo di vita

Errore durante i processi di backup: Backup job failed because the lifecycle is outside the valid range for backup vault.

Errore durante i lavori di copia: Copy job failed. The retention specified in the job is not within the range specified for the target Backup Vault.

Possibile causa: i processi di backup o di copia non riescono perché il periodo di conservazione è incompatibile con le impostazioni di conservazione minime o massime del vault logically air-gapped.

Risoluzione: aggiorna il piano di backup per specificare un periodo di conservazione che rientri nei periodi di conservazione minimo e massimo configurati per il tuo vault logically air-gapped.

I processi di backup continuo falliscono se «il backup continuo è già abilitato»

Errore: Bucket {bucket_name} already has continuous backup enabled for another vault Backup job failed.

Possibile causa: i processi di backup continuo non riescono perché esiste già un punto di ripristino continuo per la risorsa in un altro vault.

Risoluzione: ogni risorsa può avere un solo punto di ripristino continuo. Se il tuo archivio di backup è sbloccato, dissocia il punto di ripristino continuo esistente utilizzando il comando disassociate-recovery-point. https://docs.aws.amazon.com/aws-backup/latest/devguide/API_DisassociateRecoveryPoint.html Se il tuo archivio di backup è bloccato, attendi che il punto di ripristino continuo esistente scada in base al suo ciclo di vita.

Il processo di backup viene completato con «Completato con problemi» - Tipo di risorsa non supportato

Messaggio: Backup job completed successfully to the target backup vault. This resource type is not supported by logically air-gapped backup vault.

Causa possibile: i processi di backup per risorse non supportate e non completamente gestite mostrano la dicitura «Completato con problemi» con un messaggio che indica che la risorsa non è supportata.

Risoluzione: i tipi di risorse non supportati eseguiranno il backup solo su backup vault. Se desideri conservare questi backup nel tuo archivio di backup, non è richiesta alcuna azione. Se preferisci non combinare risorse non supportate con il tuo vault logicamente airgapped, puoi:

Il processo di backup viene completato con «Completato con problemi» - Chiave di crittografia non supportata

Messaggio: Backup job completed successfully to the target backup vault. This resource is encrypted with an AWS managed key and cannot be copied to a logically air-gapped backup vault.

Causa possibile: i processi di backup per risorse non supportate e non completamente gestite mostrano la dicitura «Completato con problemi» con un messaggio che indica che la risorsa è crittografata con una chiave gestita. AWS

Risoluzione: le risorse Non-fully gestite crittografate con chiavi AWS gestite non possono essere copiate in archivi logicamente airgapped. Se desideri conservare questi backup nel tuo deposito di backup, non è richiesta alcuna azione. Se preferisci non combinare risorse non supportate con il tuo vault logicamente airgapped, puoi:

I punti di ripristino rimangono nello stato SCADUTO

Causa possibile: i punti di ripristino temporanei passano allo EXPIRED stato ma non vengono eliminati.

Risoluzione: AWS Backup potrebbero mancare le autorizzazioni per eliminare i punti di ripristino. Verifica che il tuo ruolo di backup disponga delle autorizzazioni IAM necessarie. Potrebbe essere necessario eliminare manualmente i punti expired di ripristino.

I processi di copia sono in coda o non riescono a causa dell'elevata frequenza di backup

Possibile causa: i processi di copia in archivi logicamente aperti sono in coda o non riescono perché i backup vengono pianificati più frequentemente di quanto le copie possano essere completate.

Risoluzione: riduci la frequenza dei backup o modifica la pianificazione dei backup per concedere più tempo tra i backup. Consulta la documentazione sulle AWS Backup quote per informazioni sui limiti di copia simultanea.