Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung für Backups in AWS Backup

Unabhängige -Verschlüsselung

AWS Backup bietet unabhängige Verschlüsselung für Ressourcentypen, die eine vollständige AWS Backup Verwaltung unterstützen. Unabhängige Verschlüsselung bedeutet, dass für Wiederherstellungspunkte (Backups), die Sie erstellen, eine andere Verschlüsselungsmethode als die, die durch die Verschlüsselung der Quellressource bestimmt wird, verwendet werden AWS Backup kann. Beispielsweise kann Ihr Backup eines Amazon S3 S3-Buckets eine andere Verschlüsselungsmethode haben als das Quell-Bucket, das Sie mit der Amazon S3 S3-Verschlüsselung verschlüsselt haben. Diese Verschlüsselung wird über die AWS KMS Schlüsselkonfiguration im Backup-Tresor gesteuert, in dem Ihr Backup gespeichert ist.

Backups von Ressourcentypen, die nicht vollständig von verwaltet werden, erben AWS Backup in der Regel die Verschlüsselungseinstellungen von ihrer Quellressource. Sie können diese Verschlüsselungseinstellungen gemäß den Anweisungen dieses Dienstes konfigurieren, z. B. die Amazon EBS-Verschlüsselung im Amazon EBS-Benutzerhandbuch.

Ihre IAM-Rolle muss Zugriff auf den KMS-Schlüssel haben, der zum Sichern und Wiederherstellen des Objekts verwendet wird. Andernfalls ist der Job erfolgreich, aber die Objekte werden nicht gesichert oder wiederhergestellt. Die Berechtigungen in der IAM-Richtlinie und der KMS-Schlüsselrichtlinie müssen konsistent sein. Weitere Informationen finden Sie im AWS Key Management Service Entwicklerhandbuch unter Angabe von KMS-Schlüsseln in IAM-Richtlinienerklärungen.

Die folgende Tabelle führt alle unterstützten Ressourcentypen und die Konfiguration der Verschlüsselung für Sicherungen auf und gibt an, ob die unabhängige Verschlüsselung für Sicherungen unterstützt wird. Wenn AWS Backup eine Sicherung unabhängig verschlüsselt, wird der branchenübliche AES-256-Verschlüsselungsalgorithmus verwendet. Weitere Informationen zur Verschlüsselung in AWS Backup finden Sie unter Regions- und kontoübergreifendes Backup.

Verschlüsselung für Kopien eines Backups auf ein anderes Konto oder AWS-Region

Wenn Sie Ihre Backups zwischen Konten oder Regionen kopieren, AWS Backup werden diese Kopien für die meisten Ressourcentypen automatisch verschlüsselt, auch wenn das ursprüngliche Backup unverschlüsselt ist. AWS Backup verschlüsselt die Kopie mithilfe des KMS-Schlüssels des Zieltresors.

Bevor Sie ein Backup von einem Konto auf ein anderes kopieren (kontoübergreifender Kopierauftrag) oder ein Backup von einer Region in eine andere kopieren (regionsübergreifender Kopierauftrag), beachten Sie die folgenden Bedingungen, von denen viele davon abhängen, ob der Ressourcentyp im Backup (Recovery Point) vollständig verwaltet wird AWS Backup oder nicht.

AWS Backup Erklärungen zu Berechtigungen, Bewilligungen und Ablehnungen

Um Fehlschläge bei Aufträgen zu vermeiden, können Sie die AWS KMS Schlüsselrichtlinie überprüfen, um sicherzustellen, dass sie über erforderliche Berechtigungen verfügt und keine Ablehnungsaussagen enthält, die erfolgreiche Operationen verhindern.

Fehlgeschlagene Aufträge können entweder auf eine oder mehrere Deny-Anweisungen zurückzuführen sein, die auf den KMS-Schlüssel angewendet wurden, oder darauf, dass eine Zuweisung für den Schlüssel aufgehoben wurde.

In einer Richtlinie für AWS verwalteten Zugriff AWSBackupFullAccess, z. B. im Rahmen von Sicherungs-, Kopier- und Speichervorgängen, gibt es „Zulassen“ -Aktionen, die es ermöglichen, im Namen eines Kunden eine Genehmigung AWS Backup für einen KMS-Schlüssel zu erstellen. AWS KMS

Für die Schlüsselrichtlinie sind mindestens die folgenden Berechtigungen erforderlich:

Wenn Ablehnungsrichtlinien erforderlich sind, müssen Sie die erforderlichen Rollen für Sicherungs- und Wiederherstellungsvorgänge auf eine Zulassungsliste setzen.

Diese Elemente können wie folgt aussehen:

{
    "Version": "2012-10-17",
    "Statement": [
      {
          "Sid": "KmsPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:ListKeys",
              "kms:DescribeKey",
              "kms:GenerateDataKey",
              "kms:ListAliases"
          ],
          "Resource": "*"
      },
      {
          "Sid": "KmsCreateGrantPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:CreateGrant"
          ],
          "Resource": "*",
          "Condition": {
              "ForAnyValue:StringEquals": {
                  "kms:EncryptionContextKeys": "aws:backup:backup-vault"
              },
              "Bool": {
                  "kms:GrantIsForAWSResource": true
              },
              "StringLike": {
                  "kms:ViaService": "backup.*.amazonaws.com"
              }
          }
      }
    ]
}

Diese Berechtigungen müssen Teil des Schlüssels sein, unabhängig davon, ob er AWS verwaltet oder vom Kunden verwaltet wird.

Darüber hinaus muss der Schlüssel, der der Rolle zugeordnet ist, die einen regionsübergreifenden Kopierauftrag initiiert, über die DescribeKey entsprechende "kms:ResourcesAliases": "alias/aws/backup" Berechtigung verfügen.