での共有バックアップの使用 AWS CloudHSM

1. policy.json という名前のファイルを作成し、次のポリシーをコピーします。

   {
     "Version":"2012-10-17",
     "Statement":[{
       "Effect":"Allow",
       "Principal":{
         "AWS":"<consumer-aws-account-id-or-user>"
       },
       "Action":[
         "cloudhsm:CreateCluster",
         "cloudhsm:DescribeBackups"],
       "Resource":"<arn-of-backup-to-share>"
     }]
   }

2. 共有したいバックアップ ARN と識別子で policy.json を更新します。次の例では、123456789012 で識別される AWS アカウントのルートユーザーに読み取り専用アクセスを許可します。

   {
     "Version":"2012-10-17",
     "Statement":[{
       "Effect":"Allow",
       "Principal":{
         "AWS": [
           "account-id"
         ]
       },
       "Action":[
         "cloudhsm:CreateCluster",
         "cloudhsm:DescribeBackups"],
       "Resource":"arn:aws:cloudhsm:us-west-2:123456789012:backup/backup-123"
     }]
   }

   重要

   DescribeBackups にアクセス許可を付与できるのは、アカウントレベルのみです。バックアップを別の顧客と共有すると、そのアカウントで DescribeBackups アクセス許可を持つプリンシパルはバックアップの詳細を確認できます。

3. put-resource-policy コマンドを使用します。

   $ aws cloudhsmv2 put-resource-policy --resource-arn <resource-arn> --policy file://policy.json

   注記

   この時点で、共有先の顧客はバックアップを利用できますが、DescribeBackups コマンドを実行しても、共有されているという情報は表示されません。次のステップでは、バックアップをレスポンスに含めるために AWS RAM リソース共有を昇格させる方法について説明します。

4. AWS RAM リソース共有 ARN を取得します。

   $ aws ram list-resources --resource-owner SELF --resource-arns <backup-arn>

   これにより、次のようなレスポンスが得られます。

   {
     "resources": [
       {
         "arn": "<project-arn>",
         "type": "<type>",
         "resourceShareArn": "<resource-share-arn>",
         "creationTime": "<creation-time>",
         "lastUpdatedTime": "<last-update-time>"
       }
     ]
   }

   レスポンスから、次の手順で使用する <resource-share-arn> 値をコピーします。

5. AWS RAM promote-resource-share-created-from-policy コマンドを実行します。

   $ aws ram promote-resource-share-created-from-policy --resource-share-arn <resource-share-arn>

6. リソース共有が昇格したことを検証するには、 AWS RAM get-resource-shares コマンドを実行します。

   $ aws ram get-resource-shares --resource-owner SELF --resource-share-arns <resource-share-arn>
   

   ポリシーが昇格されると、レスポンスに表示される featureSet は STANDARD になります。これは、新しいアカウントが、バックアップの詳細を記述できることを意味します。

CloudHSM コンソールを使用して共有されているバックアップを特定するには

1. https://console.aws.amazon.com/cloudhsm/home で AWS CloudHSM コンソールを開きます。

2. を変更するには AWS リージョン、ページの右上隅にあるリージョンセレクターを使用します。

3. ナビゲーションペインで、[Backups] (バックアップ) を選択します。

4. テーブルで、[共有バックアップ] タブを選択します。