AWS Backup Vault Lock

O AWS Backup Vault Lock é um recurso opcional de um cofre de backup, que pode ser útil para oferecer segurança e controle adicionais para seus cofres de backup. Quando um bloqueio está ativo no modo de conformidade e o tempo de carência termina, a configuração do cofre não poderá ser alterada ou excluída por um cliente, proprietário da conta/dados ou pela AWS enquanto contiver pontos de recuperação. Cada cofre pode ter um bloqueio de cofre em vigor.

O AWS Backup garante que seus backups estejam disponíveis para você até que atinjam a expiração dos períodos de retenção. Se algum usuário (incluindo o usuário raiz) tentar excluir um backup ou alterar as propriedades do ciclo de vida em um cofre bloqueado, o AWS Backup negará a operação.

Modos de bloqueio do cofre

Ao criar um bloqueio de cofre, você pode escolher entre dois modos: modo de governança ou modo de conformidade. O modo de governança tem como objetivo permitir que um cofre seja gerenciado somente por usuários com privilégios suficientes do IAM. O modo de governança ajuda a organização a atender aos requisitos de governança, garantindo que somente a equipe designada possa fazer alterações em um cofre de backup. O modo de conformidade é destinado a cofres de backup nos quais se espera que o cofre (e, por extensão, seu conteúdo) nunca seja excluído ou alterado até que o período de retenção de dados seja concluído. Quando um cofre no modo de conformidade é bloqueado, ele fica imutável, o que significa que o bloqueio não pode ser removido (o cofre em si pode ser excluído se estiver vazio e não contiver pontos de recuperação).

Um cofre bloqueado no modo de governança pode ser gerenciado ou excluído por usuários que tenham as permissões apropriadas do IAM.

Um bloqueio de cofre no modo de conformidade não pode ser alterado ou excluído por nenhum usuário ou pela AWS. Um bloqueio de cofre no modo de conformidade tem um período de carência que você define antes de ele ser bloqueado e se tornar imutável.

Benefícios do Vault Lock

O AWS Backup Vault Lock oferece vários benefícios, incluindo:

Bloquear um cofre de backup usando o console

Você pode adicionar um bloqueio de cofre do AWS Backup usando o console do Backup.

Se as etapas tiverem sido concluídas com êxito, um banner “Êxito” será exibido na parte superior do console.

Bloquear um cofre de backup de forma programática

Para configurar o AWS Backup Vault Lock, use a API PutBackupVaultLockConfiguration. Os parâmetros a serem incluídos dependerão do modo de bloqueio do cofre que você pretende usar. Se você deseja criar um bloqueio de cofre no modo de governança, não inclua ChangeableForDays. Se esse parâmetro for incluído, o bloqueio do cofre será criado no modo de conformidade.

Aqui está um exemplo de CLI da criação de um bloqueio de cofre no modo de conformidade:

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

Aqui está um exemplo de CLI da criação de um bloqueio de cofre no modo de governança:

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

É possível configurar quatro opções.

Revisar um cofre de backup para a configuração do AWS Backup Vault Lock

É possível revisar os detalhes do AWS Backup Vault Lock em um cofre a qualquer momento por meio de chamadas às APIs DescribeBackupVault ou ListBackupVaults.

Para determinar se você aplicou um bloqueio de cofre a um cofre de backup, chame DescribeBackupVault e verifique a propriedade Locked. Se "Locked": true, como no exemplo a seguir, você aplicou o AWS Backup Vault Lock ao seu cofre de backup.

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

A saída anterior confirma as seguintes opções:

Se "Locked":false, como no exemplo a seguir, você não tiver aplicado um bloqueio de cofre (ou se um anterior tiver sido excluído).

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

Remoção do bloqueio do cofre durante o período de carência (modo de conformidade)

Para excluir o bloqueio do cofre durante o período de carência (o tempo após o bloqueio do cofre, mas antes da sua LockDate) usando o console do AWS Backup,

Depois que todas as etapas forem concluídas com êxito, um banner de Êxito será exibido na parte superior da tela do console.

Para excluir o bloqueio do cofre durante o período de carência usando um comando da CLI, use DeleteBackupVaultLockConfiguration como este exemplo de CLI:

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

Fechamento da Conta da AWS com um cofre bloqueado

Quando você fecha uma Conta da AWS que contém um cofre de backup, a AWS e o AWS Backup suspendem sua conta por 90 dias com seus backups intactos. Se você não reabrir sua conta durante esses 90 dias, a AWS excluirá o conteúdo do seu cofre de backup, mesmo se o AWS Backup Vault Lock estiver em vigor.

Considerações adicionais sobre segurança

O AWS Backup Vault Lock adiciona uma camada adicional de segurança à sua defesa de proteção de dados em profundidade. É possível combinar o bloqueio do cofre com esses outros recursos de segurança: