前提条件

前提条件の定義

• 中央バックアップアカウント - 中央バックアップアカウントは、AWS Control Tower バックアップボールトとバックアップを保存します。このボールトは、このアカウント内の AWS Control Tower AWS リージョン が管理するすべての に作成されます。クロスアカウントコピーは、アカウントが侵害され、データの復元が必要な場合に備えて、このアカウントに保存されます。

• バックアップ管理者アカウント - バックアップ管理者アカウントは、AWS Control Tower の AWS Backup サービスの委任管理者アカウントです。Backup Audit Manager (BAM) レポートプランが保存されます。このアカウントは、復元ジョブやコピージョブなど、すべてのバックアップモニタリングデータを集約します。データは Amazon S3 バケットに保存されます。詳細については、「 AWS Backup デベロッパーガイド」の「 AWS Backup コンソールを使用したレポートプランの作成」を参照してください。

• マルチリージョン AWS KMS キーのポリシー要件

  AWS KMS キーにはキーポリシーが必要です。次のようなキーポリシーを考えてみましょう。これにより、組織の管理アカウントに関連付けられたルート IAM アクセス許可を持つプリンシパル (ユーザーとロール) へのアクセスが制限されます。

  {
      "Version": "2012-10-17",
      "Id": "KMS key policy",
      "Statement": [
          {
              "Sid": "Enable IAM User Permissions",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::MANAGEMENT-ACCOUNT-ID:root"
              },
              "Action": "kms:*",
              "Resource": "*"
          },
          {
              "Sid": "Allow use of the KMS key for organization",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "*"
              },
              "Action": [
                  "kms:Decrypt",
                  "kms:DescribeKey",
                  "kms:Encrypt",
                  "kms:ReEncrypt*",
                  "kms:GetKeyPolicy",
                  "kms:CreateGrant",
                  "kms:ListGrants",
                  "kms:RevokeGrant"
              ],
              "Resource": "*",
              "Condition": {
                  "StringEquals": {
                      "aws:PrincipalOrgID": "ORGANIZATION-ID"
                  }
              }
          }
      ]
  }