View a markdown version of this page

邏輯氣隙隔離保存庫的多方核准 - AWS Backup
多方核准概觀先決條件和最佳實務必要的存取政策設定多方核准多方核准跨區域考量事項多方核准條款

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

邏輯氣隙隔離保存庫的多方核准

邏輯氣隙隔離保存庫中的多方核准概觀

AWS Backup 可讓您選擇將來自 的多方核准功能新增至 AWS Organizations邏輯氣隙隔離保存庫。多方核准提供額外的選項，以協助透過分散式核准程序保護關鍵操作。

多方核准旨在協助保護關鍵資源，並將返回完整操作的時間降至最低，例如惡意行為者或惡意軟體事件造成的中斷。此設定可協助您還原可能已遭入侵的邏輯氣隙隔離保存庫的內容。

整合和使用具有 AWS Backup 邏輯氣隙隔離保存庫的多方核准團隊無需額外費用 （需支付儲存和跨區域轉移費用，如定價頁面所示）。

AWS Backup 客戶可以使用多方核准，將某些操作的核准功能授予一組信任的個人，這些人員可以協同核准從個別建立的復原帳戶存取邏輯氣隙隔離保存庫，以防可疑的惡意活動危及主要帳戶的使用。

使用多方核准搭配邏輯氣隙隔離保存庫的先決條件和最佳實務

在您的邏輯氣隙隔離保存庫中有效且安全地使用多方核准之前，有先決條件和建議的最佳實務。

最佳實務：

  • 透過 AWS Organizations 的兩個 （或更多） 組織。其中一個應該是您的主要組織，其中您有一或多個帳戶至少具有一個邏輯氣隙隔離保存庫。次要組織應該是您的復原組織。其位於此組織中，您的多方核准團隊將受到管理。

先決條件

  1. 您已設定多方核准，且至少有一個核准團隊。

  2. 主要組織中至少有一個帳戶必須具有邏輯氣隙隔離保存庫 （和原始備份保存庫）。

  3. 主要組織中的管理帳戶已選擇加入多方核准。

    提示

    AWS Backup 建議您將服務控制政策 (SCP) 套用至您的主要組織，並使用適當的許可將其設定為組織和每個核准團隊。如需範例政策，請參閱多方核准條款一節。

  4. 來自次要 （復原） 組織的多方核准團隊會透過 與擁有邏輯氣隙隔離保存庫的帳戶 （兩個） 和您的復原帳戶共用 AWS RAM。

必要的存取政策

在設定多方核准之前，請設定下列存取政策：

  • 服務控制政策 (SCP)：將 SCP 套用至您的主要組織，以控制跨帳戶允許的動作。SCP 應該將適當的許可授予組織和每個核准團隊。如需 SCPs的詳細資訊，請參閱《 Organizations 使用者指南》中的服務控制政策。

  • 多方核准團隊政策：當您建立核准團隊時，請連接適當的資源政策。對於 AWS Backup 邏輯氣隙隔離保存庫，請使用政策 arn:aws:mpa::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault。若要列出可用的政策，請執行 aws mpa list-policies --region us-east-1。多方核准團隊資源只能在美國東部 （維吉尼亞北部） 建立和存放，因此 MPA 命令必須以此區域為目標。

  • AWS RAM 共用許可：跨帳戶共用核准團隊時，請使用 RAM 許可 arn:aws:ram::aws:permission/AWSRAMMPAApprovalTeamAccess。如需詳細資訊，請參閱使用 共享核准團隊 AWS RAM。

  • IAM 許可：與多方核准互動的使用者需要適當的 IAM 許可，包括 mpa:GetApprovalTeam、mpa:ListApprovalTeams、mpa:StartSession、mpa:CancelSession、 mpa:GetSession和 mpa:ListSessions。這些許可包含在 AWSBackupFullAccess 受管政策中。

設定多方核准

下列步驟概述設定復原 AWS 組織、設定多方核准，以及搭配邏輯氣隙隔離保存庫使用多方核准的建議流程：

  1. 管理員會透過 Organizations 建立新的組織，以用於復原操作。

  2. 在此新組織的管理帳戶中，管理員會建立和設定 IAM Identity Center (IDC) 執行個體 （若要啟用組織執行個體，請參閱《IAM Identity Center 使用者指南》中的啟用 IAM Identity Center。另請參閱多方核准使用者指南中的建立多方核准身分來源的順序。

  3. 然後，管理員將建立一個核准團隊，這是信任的個人的核心群組，這些個人將是多方核准的主要使用者。

  4. 管理員使用 與擁有邏輯氣隙隔離保存庫的每個帳戶以及需要請求該保存庫存取權的復原帳戶 AWS RAM 共用核准團隊。

  5. 邏輯氣隙隔離保存庫擁有帳戶的管理員會將保存庫與核准團隊建立關聯。

  6. 復原帳戶請求存取具有邏輯氣隙隔離保存庫的帳戶，該保存庫與相關聯的多方核准團隊 (「團隊」)。與帳戶相關聯的團隊核准或拒絕請求。

  7. 擁有邏輯氣隙隔離保存庫的 帳戶管理員可以請求取消核准團隊與保存庫的關聯。請求需要目前的團隊核准。

  8. 管理員可以根據其安全實務或人員加入或離開您的組織時，視需要更新核准團隊成員資格。

使用多方核准時的跨區域考量和相依性

當您在不同區域中啟用多方核准和 IAM Identity Center 執行個體時，多方核准會跨區域呼叫 IAM Identity Center。這表示使用者和群組資訊會跨區域移動。多方核准 團隊資源只能在 AWS 區域 美國東部 （維吉尼亞北部） 建立和存放。

AWS 區域 參考多方核准團隊資源的其他資源將取決於 AWS 區域 美國東部 （維吉尼亞北部）。因此，如果您的 Identity Center 執行個體和/或邏輯氣隙隔離保存庫不在美國東部 （維吉尼亞北部），多方核准將會進行跨區域呼叫。

多方核准條款、概念和使用者角色

邏輯氣隙隔離保存庫中的多方核准是 AWS Organizations、 AWS 帳戶管理和 AWS Backup，以及 AWS Identity and Access Management ( IAM) 和 AWS RAM (RAM) 功能的整合。透過 CLI，您可以與每個服務互動，以傳送適當的命令。您也可以使用 主控台，但您需要導覽至適當的服務主控台來完成特定任務。

您與多方核准的互動方式取決於您在組織中的角色和責任，以及您 AWS Backup 帳戶中的許可。

如多方核准使用者指南所示，使用多方核准的組織成員可以是申請者、管理員或核准者。特定許可適用於每個任務函數。根據安全最佳實務，使用者應該只完成一個任務函數。

主控台、入口網站和工作階段

AWS Backup 具有一或多個邏輯氣隙隔離保存庫的帳戶可以使用多方核准。

在多方核准程序之前，如果尚未設定次要組織，管理員會利用 AWS Organizations 建立次要組織以進行復原 (復原組織)。

然後，管理員利用 AWS Resource Access Manager (RAM) 來設定主要組織與復原組織之間的跨組織共用。

主要組織是擁有並使用邏輯氣隙隔離保存庫的帳戶所在，該保存庫存放受保護的資料。

復原組織至少有一個復原帳戶的所在位置。此帳戶包含一個存取點，可做為共用邏輯氣隙隔離保存庫的關鍵「後門」。此存取點稱為還原存取備份文件庫。此存取文件庫不會存放資料；而是做為可鏡射來源邏輯氣隙隔離文件庫內容的存取或掛載點，但不包含可變更或刪除的資料。例如，如果客戶在還原存取備份文件庫中經歷復原點的還原程序，則它是邏輯氣隙隔離文件庫中的復原點，透過復原帳戶透過跨帳戶還原進行還原。

為了確保額外的安全性，客戶會使用此復原帳戶在主要帳戶中執行受保護的操作，但只有在相關核准團隊在核准工作階段中核准這些操作之後。一旦傳送核准請求 AWS ，工作階段就會由 建立，當核准團隊成員的閾值核准或拒絕請求，或經過允許的工作階段時間時，該工作階段就會結束。

團隊由核准者 （實際上是多方核准的當事方部分） 組成，他們會收到受保護操作請求的電子郵件通知。這些電子郵件確認請求的核准工作階段已開始。一旦達到所需的核准最低閾值，就會授予核准。此閾值可設定為建立多方核准團隊 (「團隊」)。

多方核准團隊是透過 Organizations 多方核准入口網站 (「入口網站」) 進行管理，此 AWS 受管應用程式為身分提供一個集中的位置，核准團隊成員可以在其中接收和回應核准團隊邀請和操作請求。