View a markdown version of this page

Prerequisiti - AWS Control Tower

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Prerequisiti

Prima di poter configurare AWS Backup le tue risorse AWS Control Tower, devi disporre di un' AWS Organizations organizzazione esistente. Se hai già configurato la tua landing zone di AWS Control Tower, questa funge da organizzazione esistente.

È necessario allocare o creare altri due AWS account non registrati in AWS Control Tower. Questi account diventano l'account di backup centrale e l'account dell'amministratore di backup. Assegna un nome a questi account con questi nomi.

Inoltre, è necessario selezionare o creare una chiave multiregionale AWS Key Management Service (KMS), specifica per AWS Backup.

Definizione dei prerequisiti

  • L'account di backup centrale: l'account di backup centrale memorizza il vault di backup di AWS Control Tower e i backup. Questo deposito viene creato in tutto ciò Regioni AWS che AWS Control Tower governa, all'interno di questo account. Cross-account le copie vengono archiviate in questo account, nel caso in cui un account sia compromesso e richieda il ripristino dei dati.

  • L'account dell'amministratore di backup: l'account dell'amministratore di backup è l'account amministratore delegato per il AWS Backup servizio in AWS Control Tower. Memorizza i piani di report di Backup Audit Manager (BAM). Questo account aggrega tutti i dati di monitoraggio del backup, come i processi di ripristino e i processi di copia. I dati vengono archiviati in un bucket Amazon S3. Per ulteriori informazioni, consulta Creazione di piani di report tramite la AWS Backup console nella AWS Backup Developer Guide.

  • Requisiti politici per la chiave multiregionale AWS KMS

    La tua AWS KMS chiave richiede una politica chiave. Prendi in considerazione una politica chiave simile a questa, che limita l'accesso ai principali (utenti e ruoli) che dispongono delle autorizzazioni associate all'account di gestione della tua organizzazione:

    JSON
    {
    "Version":"2012-10-17",
    "Id": "KMS key policy",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the KMS key for organization",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:GenerateDataKey*",
                "kms:Encrypt",
                "kms:ReEncrypt*",
                "kms:GetKeyPolicy",
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalOrgID": "ORGANIZATION-ID"
                }
            }
        }
    ]
}

Questa politica di esempio consente a tutti gli account dell'organizzazione di accedere ai propri dati di backup crittografati. Utilizza le chiavi di condizione AWS globali e le chiavi di AWS KMS condizione per perfezionare le autorizzazioni, a seconda dei principali che richiedono l'accesso ai backup.

Nota

La tua AWS KMS chiave multiregionale deve essere replicata per ogni cosa Regione AWS che intendi gestire con AWS Control Tower.