Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Logischer Air-Gapped Vault

Überblick über logisch luftdurchlässige Tresore

AWS Backup bietet einen zweiten Tresortyp, in dem Backups in einem Container mit zusätzlichen Sicherheitsfunktionen gespeichert werden können. Ein Tresor mit logischem Air-Gap ist ein spezialisierter Tresor, der eine höhere Sicherheit bietet als ein herkömmlicher Backup-Tresor und die Möglichkeit, den Tresorzugriff für andere Konten gemeinsam zu nutzen, sodass Recovery Time Objectives (RTOs) im Falle eines Vorfalls, der eine schnelle Wiederherstellung der Ressourcen erfordert, schneller und flexibler gestaltet werden können.

Logischerweise sind Air-Gap-Tresore mit zusätzlichen Schutzfunktionen ausgestattet. Jeder Tresor ist entweder mit einem AWS eigenen Schlüssel (Standard) oder optional mit einem vom Kunden verwalteten KMS-Schlüssel verschlüsselt, und jeder Tresor ist mit dem Compliance-Modus von AWS Backup Vault Lock ausgestattet. Die Informationen zum Typ des Verschlüsselungsschlüssels sind über AWS Backup APIs und die Konsole einsehbar, sodass Transparenz und Compliance-Berichte gewährleistet sind.

Sie können Ihre Logically Airgapped Tresors mit Multi-party Approval (MPA) integrieren, um die Wiederherstellung von Backups in den Tresoren zu ermöglichen, auch wenn auf das Konto, das den Tresor besitzt, nicht zugegriffen werden kann. Dies trägt zur Aufrechterhaltung der Geschäftskontinuität bei. Darüber hinaus können Sie sich für die Integration mit AWS Resource Access Manager (RAM) entscheiden, um einen Logical Air-Gap-Tresor mit anderen AWS Konten (einschließlich Konten in anderen Organisationen) zu teilen, sodass die im Tresor gespeicherten Backups von einem Konto aus wiederhergestellt werden können, mit dem der Tresor gemeinsam genutzt wird, falls dies für die Wiederherstellung von Datenverlusten oder für Wiederherstellungstests erforderlich ist. Als Teil dieser zusätzlichen Sicherheit speichert ein Tresor mit logischem Air-Gap seine Backups in einem AWS Backup diensteigenen Konto (was dazu führt, dass Backups in AWS CloudTrail Protokollen zum Ändern von Attributen als außerhalb Ihrer Organisation geteilt angezeigt werden).

In dem Szenario, in dem Ihr logischer Airgap-Besitzer geschlossen wird (in böswilliger Absicht oder auf andere Weise), können Sie über MPA weiterhin auf Backups im Tresor zugreifen (sie wiederherstellen oder kopieren), bis der Zeitraum nach der Schließung endet. https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-closing.html#post-closure-period Nach Ablauf der Zeit nach der Schließung sind die Backups nicht mehr zugänglich. In der Zeit nach der Schließung können Sie in der Dokumentation zur AWS Kontoverwaltung nachschlagen, um die Kontrolle über Ihr Konto zurückzugewinnen, während Sie an der Wiederherstellung arbeiten.

Für eine höhere Ausfallsicherheit empfehlen wir, regionsübergreifende Kopien in Logic-Air-Gap-Depots auf denselben oder separaten Konten zu erstellen. Wenn Sie jedoch die Speicherkosten senken möchten, indem Sie nur eine einzige Kopie verwalten, können Sie nach dem Onboarding bei MPA primäre Backups verwenden, um Depots mit logischem Air-Gap zu erstellen. AWS

Auf der Preisseite können Sie die Speicherpreise für Backups unterstützter Dienste in einem Tresor mit logischem Air-Gap einsehen. AWS Backup

Informationen zu Ressourcentypen, Feature-Verfügbarkeit nach Ressource die Sie in einen Tresor mit logischem Air-Gap kopieren können, finden Sie unter.

Anwendungsfall für Tresore mit logischem Luftspalt

Ein logischer Air-Gapped Vault ist ein sekundärer Tresor, der als Teil einer Datenschutzstrategie dient. Dieser Tresor kann dazu beitragen, die Aufbewahrungsstrategie Ihres Unternehmens zu verbessern und die Wiederherstellung zu verbessern, wenn Sie einen Tresor für Ihre Backups benötigen

Überlegungen und Einschränkungen

Vergleich und Gegenüberstellung mit einem Standard-Backup-Tresor

Ein Backup-Tresor ist der primäre und standardmäßige Tresortyp, der in AWS Backup verwendet wird. Jedes Backup wird beim Erstellen in einem Backup-Tresor gespeichert. Sie können ressourcenbasierte Richtlinien zuweisen, um die im Tresor gespeicherten Backups zu verwalten, z. B. den Lebenszyklus von im Tresor gespeicherten Backups.

Ein logischer Air-Gapped Vault ist ein spezialisierter Tresor mit zusätzlicher Sicherheit und flexibler gemeinsamer Nutzung für eine kürzere Wiederherstellungszeit (Recovery Time Objective, RTO). In diesem Tresor werden primäre Backups oder Kopien von Backups gespeichert, die ursprünglich in einem Standard-Backup-Tresor erstellt und gespeichert wurden.

Die Backup-Tresore sind mit einem Schlüssel verschlüsselt. Dabei handelt es sich um einen Sicherheitsmechanismus, der den Zugriff auf bestimmte Benutzer beschränkt. Diese Schlüssel können vom Kunden oder AWS vom Kunden verwaltet werden. Informationen zum Verschlüsselungsverhalten bei Kopieraufträgen, einschließlich des Kopierens in einen Tresor mit logischem Luftspalt, finden Sie unter Kopierverschlüsselung.

Darüber hinaus kann ein Backup-Tresor durch eine Tresorsperre zusätzliche Sicherheit bieten. Logischerweise sind Tresore mit Luftabständen im Compliance-Modus mit einer Tresorsperre ausgestattet.

Ähnlich wie Backup-Tresore unterstützen Logical-Air-Gap-Tresore auch eingeschränkte Tags für Amazon EC2-Backups. https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#tag-restrictions

Erstellen Sie einen Tresor mit logischem Luftspalt

Sie können einen Tresor mit logischem Air-Gap entweder über die AWS Backup Konsole oder über eine Kombination aus und CLI-Befehlen erstellen. AWS Backup AWS RAM

Jedes Logically Airgapped ist im Compliance-Modus mit einem Tresorschloss ausgestattet. Informationen AWS Backup Vault Lock zur Bestimmung der für Ihren Betrieb am besten geeigneten Aufbewahrungszeitwerte finden Sie unter

Console

Erstellen eines logischen Air-Gapped Vault von der Konsole aus

1. Öffnen Sie die AWS Backup Konsole unter https://console.aws.amazon.com/backup.

2. Wählen Sie im Navigationsbereich Tresore aus.

3. Beide Tresortypen werden angezeigt. Wählen Sie Neuen Tresor erstellen aus.

4. Geben Sie einen Namen für Ihren Sicherungstresor ein. Sie können den Namen Ihres Tresors so wählen, dass er angibt, was in ihm gespeichert wird, oder so, dass die Suche nach den benötigten Sicherungen erleichtert wird. Geben Sie ihm beispielsweise den Namen FinancialBackups.

5. Wählen Sie das Optionsfeld für Logically airgapped Tresor aus.

6. (Optional) Wählen Sie einen Verschlüsselungsschlüssel. Sie können einen vom Kunden verwalteten KMS-Schlüssel für zusätzliche Kontrolle über die Verschlüsselung auswählen oder den standardmäßigen AWS eigenen Schlüssel verwenden (empfohlen).

7. Legen Sie den Mindestaufbewahrungszeitraum fest.

   Dieser Wert (in Tagen, Monaten oder Jahren) ist der kürzeste Zeitraum, für den ein Backup in diesem Tresor aufbewahrt werden kann. Backups mit Aufbewahrungszeiträumen, die kürzer sind als dieser Wert, können nicht in diesen Tresor kopiert werden.

   Der zulässige Mindestwert ist 7 Tage. Werte für Monate und Jahre entsprechen diesem Minimum.

8. Legen Sie den Höchstaufbewahrungszeitraum fest.

   Dieser Wert (in Tagen, Monaten oder Jahren) ist der längste Zeitraum, für den ein Backup in diesem Tresor aufbewahrt werden kann. Backups mit Aufbewahrungszeiträumen, die diesen Wert überschreiten, können nicht in diesen Tresor kopiert werden.

9. (Optional) Stellen Sie den Verschlüsselungsschlüssel ein.

   Geben Sie den Schlüssel an, der mit Ihrem Tresor verwendet werden soll. Sie können einen AWS eigenen Schlüssel (verwaltet von AWS Backup) wählen oder den ARN für einen vom Kunden verwalteten Schlüssel eingeben, der vorzugsweise zu einem anderen Konto gehört, auf das Sie Zugriff haben. AWS Backup empfiehlt die Verwendung eines AWS eigenen Schlüssels.

10. (Optional) Fügen Sie Tags hinzu, die Ihnen helfen, Ihren logischen Air-Gapped Vault zu suchen und zu identifizieren. Beispielsweise können Sie den Tag BackupType:Financial hinzufügen.

11. Wählen Sie Tresor erstellen aus.

12. Überprüfen Sie die Einstellungen. Wenn alle Einstellungen wie gewünscht angezeigt werden, wählen Sie Logischen luftdicht verschlossenen Tresor erstellen aus.

13. Die Konsole leitet Sie zur Detailseite Ihres neuen Tresors weiter. Vergewissern Sie sich, dass die Tresordetails wie gewünscht festgelegt sind.

14. Wählen Sie Tresore aus, um die Tresore in Ihrem Konto anzuzeigen. Ihr logischer Tresor mit Air-Gap-Zugang wird angezeigt. Der KMS-Schlüssel ist ungefähr 1 bis 3 Minuten nach der Erstellung des Tresors verfügbar. Aktualisieren Sie die Seite, um den zugehörigen Schlüssel zu sehen. Sobald der Schlüssel sichtbar ist, befindet sich der Tresor in einem verfügbaren Zustand und kann verwendet werden.

AWS CLI

Erstellen Sie über die CLI einen Tresor mit logischem Air-Gap

Sie können es verwenden AWS CLI , um Operationen für Tresore mit logischem Air-Gap programmgesteuert auszuführen. Jede CLI ist spezifisch für den Dienst, aus dem sie stammt AWS . Befehlen, die sich auf Freigaben beziehen, wird aws ram vorangestellt. Allen anderen Befehlen sollte aws backup vorangestellt werden.

Verwenden Sie den CLI-Befehl create-logically-air-gapped-backup-vault, der mit den folgenden Parametern geändert wurde:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1 // optional
--backup-vault-name sampleName // required
--min-retention-days 7 // required Value must be an integer 7 or greater
--max-retention-days 35 // required
--encryption-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012 // optional
--creator-request-id 123456789012-34567-8901 // optional

Mit dem optionalen --encryption-key-arn Parameter können Sie einen vom Kunden verwalteten KMS-Schlüssel für die Tresorverschlüsselung angeben. Wenn nicht angegeben, verwendet der Tresor einen Schlüssel von AWS-owned.

Beispiel für einen CLI-Befehl zum Erstellen eines Tresors mit logischem Air-Gap-Zugang:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--creator-request-id 123456789012-34567-8901 // optional

Beispiel für einen CLI-Befehl zum Erstellen eines Tresors mit logischem Air-Gap-Zugang und vom Kunden verwalteter Verschlüsselung:

aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--encryption-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012
--creator-request-id 123456789012-34567-8901 // optional

Informationen nach dem Erstellungsvorgang finden Sie unter CreateLogicallyAirGappedBackupVault API-Antwortelemente. Wenn der Vorgang erfolgreich war, hat der neue Tresor mit logischem Luftspalt die Option „Aus“. VaultState CREATING

Sobald die Erstellung abgeschlossen ist und der KMS-verschlüsselte Schlüssel zugewiesen wurde, VaultState erfolgt der Übergang zu. AVAILABLE Sobald der Tresor verfügbar ist, kann er verwendet werden. VaultStatekann telefonisch abgerufen werden DescribeBackupVault oder ListBackupVaults.

Logisch mit Luftspalten versehene Tresordetails anzeigen

Sie können die Tresordetails wie die Zusammenfassung, die Wiederherstellungspunkte, die geschützten Ressourcen, die gemeinsame Nutzung von Konten, Zugriffsrichtlinien und Tags über die AWS Backup Konsole oder die CLI einsehen. AWS Backup

Console

1. Öffnen Sie die AWS Backup Konsole unter https://console.aws.amazon.com/backup.

2. Wählen Sie im linken Navigationsbereich die Option Tresore aus.

3. Unter den Beschreibungen der Tresore befinden sich drei Listen: Tresore, die von diesem Konto erstellt wurden, Tresore, die über RAM gemeinsam genutzt werden, und Tresore, auf die nur nach Genehmigung zugegriffen werden kann. Multi-party Wählen Sie die gewünschte Registerkarte aus, um die Tresore anzuzeigen.

4. Klicken Sie unter Tresorname auf den Namen des Tresors, um die Detailseite zu öffnen. Sie können die Zusammenfassung, die Wiederherstellungspunkte, die geschützten Ressourcen, die Kontofreigabe, die Zugriffsrichtlinie und Tag-Details einsehen.

   Die Details werden je nach Kontotyp angezeigt: Konten, die einen Tresor besitzen, können die gemeinsame Nutzung von Konten sehen; Konten, die keinen Tresor besitzen, können die gemeinsame Kontonutzung nicht einsehen. Bei gemeinsam genutzten Tresoren wird der Typ des Verschlüsselungsschlüssels (AWS eigener oder vom Kunden verwalteter KMS-Schlüssel) in der Tresorübersicht angezeigt.

AWS CLI

Über CLI können Sie sich die Details eines Tresors mit logischem Air-Gap anzeigen lassen

Der CLI-Befehl describe-backup-vault kann verwendet werden, um Details zu einem Tresor abzurufen. Der Parameter backup-vault-name ist erforderlich; region ist optional.

aws backup describe-backup-vault
--region us-east-1
--backup-vault-name testvaultname

Beispiel für eine Antwort:

{
            "BackupVaultName": "LOG-AIR-GAP-VAULT-TEST",
            "BackupVaultArn": "arn:aws:backup:us-east-1:234567890123:backup-vault:IAD-LAGV-01",
            "VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
            "EncryptionKeyType": "AWS_OWNED_KMS_KEY",
            "CreationDate": "2024-07-25T16:05:23.554000-07:00",
            "NumberOfRecoveryPoints": 0,
            "Locked": true,
            "MinRetentionDays": 8,
            "MaxRetentionDays": 30,
            "LockDate": "2024-07-25T16:05:23.554000-07:00"
}

Anmerkung

Das VaultType Feld ist in der API-Antwort in Regionen, in denen logischerweise keine Air-Gap-Tresore verfügbar sind, nicht enthalten.

Erstellen von Backups in einem Tresor mit logischem Air-Gap-Zugang

Tresore mit logischem Air-Gap können ein Ziel für einen Kopierauftrag in einem Backup-Plan oder ein Ziel für einen Kopierauftrag auf Abruf sein. Es kann auch als primäres Backup-Ziel verwendet werden. Weitere Informationen finden Sie unter Primäre Backups in Logic-Airgap-Depots.

Kompatible Verschlüsselung

Für einen erfolgreichen Kopiervorgang von einem Backup-Tresor in einen Tresor mit logischem Air-Gap ist ein Verschlüsselungsschlüssel erforderlich, der durch den zu kopierenden Ressourcentyp bestimmt wird.

Wenn Sie ein Backup eines vollständig verwalteten Ressourcentyps erstellen oder kopieren, kann die Quellressource mit einem vom Kunden verwalteten Schlüssel oder mit einem verwalteten Schlüssel verschlüsselt werden. AWS

Wenn Sie ein Backup anderer Ressourcentypen (die nicht vollständig verwaltet werden) erstellen oder kopieren, muss die Quelle mit einem vom Kunden verwalteten Schlüssel verschlüsselt werden. AWS verwaltete Schlüssel für nicht vollständig verwaltete Ressourcen werden nicht unterstützt.

Mithilfe eines Backup-Plans können Sie Backups erstellen oder in einen Tresor mit logischem Air-Gap-Zugang kopieren

Sie können ein Backup (einen Recovery-Punkt) aus einem Standard-Backup-Tresor in einen Tresor mit logischem Air-Gap kopieren, indem Sie einen neuen Backup-Plan erstellen oder einen vorhandenen in der AWS Backup Konsole oder über die Befehle und aktualisieren. AWS CLI create-backup-plan update-backup-plan Sie können Backups auch direkt in einem Tresor mit logischem Air-Gap erstellen, indem Sie ihn als primäres Ziel verwenden. Weitere Informationen finden Sie unter Primäre Backups in Tresoren mit logischem Air-Gap.

Sie können bei Bedarf ein Backup von einem Tresor mit logischem Air-Gap in einen anderen Tresor mit logischem Air-Gap kopieren (diese Art von Sicherung kann nicht in einem Backup-Plan geplant werden). Sie können ein Backup aus einem logisch nach außen gerichteten Tresor in einen Standard-Backup-Tresor kopieren, sofern die Kopie mit einem vom Kunden verwalteten Schlüssel verschlüsselt ist.

On-demand Sicherungskopie in einen Tresor mit logischem Air-Gap-Zugang

Um bei Bedarf eine einmalige Kopie eines Backups in einen Tresor mit logischem Air-Gap-Zugang zu erstellen, können Sie eine Kopie aus einem Standard-Backup-Tresor erstellen. Cross-Region oder kontoübergreifende Kopien sind verfügbar, wenn der Ressourcentyp den Kopietyp unterstützt.

Verfügbarkeit von Kopien

Eine Kopie eines Backups kann von dem Konto aus erstellt werden, zu dem der Tresor gehört. Konten, mit denen der Tresor gemeinsam genutzt wurde, haben die Möglichkeit, ein Backup anzusehen oder wiederherzustellen, aber keine Kopie zu erstellen.

Es können nur Ressourcentypen aufgenommen werden, die regionsübergreifendes oder kontoübergreifendes Kopieren unterstützen.

Console

1. Öffnen Sie die AWS Backup Konsole unter. https://console.aws.amazon.com/backup

2. Wählen Sie im linken Navigationsbereich die Option Tresore aus.

3. Auf der Tresordetailseite werden alle Wiederherstellungspunkte innerhalb dieses Tresors angezeigt. Aktivieren Sie das Kontrollkästchen neben dem Wiederherstellungspunkt, den Sie kopieren möchten.

4. Wählen Sie Aktionen und dann im Dropdown-Menü Kopieren aus.

5. Geben Sie auf dem nächsten Bildschirm die Details des Ziels ein.

   1. Geben Sie die Zielregion an.

   2. Das Dropdown-Menü für den Ziel-Backup-Tresor zeigt die geeigneten Zieltresore an. Wählen Sie einen vom Typ logically air-gapped vault aus.

6. Wählen Sie Kopieren aus, sobald alle Details Ihren Präferenzen entsprechen.

Auf der Seite Aufträge in der Konsole können Sie Kopieraufträge auswählen, um die aktuellen Kopieraufträge einzusehen.

AWS CLI

Verwenden Sie start-copy-job, um ein vorhandenes Backup in einem Backup-Tresor in einen Logic-Airgap-Depot zu kopieren.

CLI-Beispieleingabe:

aws backup start-copy-job
--region us-east-1
--recovery-point-arn arn:aws:resourcetype:region::snapshot/snap-12345678901234567
--source-backup-vault-name sourcevaultname
--destination-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:destinationvaultname
--iam-role-arn arn:aws:iam::123456789012:role/service-role/servicerole

Weitere Informationen finden Sie unter Backup kopieren, Regionsübergreifendes Backup und Backup. https://docs.aws.amazon.com/aws-backup/latest/devguide/cross-region-backup.html Cross-account

Teilen Sie sich einen Tresor mit logischem Air-Gap

Sie können AWS Resource Access Manager (RAM) verwenden, um einen Tresor mit logischem Air-Gap mit anderen von Ihnen angegebenen Konten gemeinsam zu nutzen. Bei der gemeinsamen Nutzung von Tresoren bleiben die Informationen zum Typ des Verschlüsselungsschlüssels (AWS eigener oder vom Kunden verwalteter KMS-Schlüssel) erhalten und sind für Konten sichtbar, mit denen der Tresor gemeinsam genutzt wird.

Ein Tresor kann nur mit einzelnen AWS-Konto IDs geteilt werden. Sie können ihn mit einem Konto in Ihrer Organisation oder mit einem Konto in einer anderen Organisation teilen. Der Tresor kann nicht mit einer gesamten Organisation oder mit Organisationseinheiten (OUs) gemeinsam genutzt werden. Nur einzelne Konto-IDs werden als Share-Principals unterstützt.

Nur Konten mit bestimmten IAM-Rechten können die gemeinsame Nutzung von Tresoren gemeinsam nutzen und verwalten.

Um die gemeinsame Nutzung zu ermöglichen AWS RAM, stellen Sie sicher, dass Sie über Folgendes verfügen:

Console

1. Öffnen Sie die AWS Backup Konsole unter https://console.aws.amazon.com/backup.

2. Wählen Sie im linken Navigationsbereich die Option Tresore aus.

3. Unter den Beschreibungen der Tresore finden Sie zwei Listen: Tresore, die diesem Konto gehören und Mit diesem Konto geteilte Tresore. Tresore, die dem Konto gehören, können gemeinsam genutzt werden.

4. Wählen Sie unter Tresorname den Namen des logischen Air-Gapped Vault aus, um die Detailseite zu öffnen.

5. Im Bereich Kontofreigabe wird angezeigt, mit welchen Konten der Tresor geteilt wird.

6. Um mit der Freigabe für ein anderes Konto zu beginnen oder Konten zu bearbeiten, die bereits gemeinsam genutzt werden, wählen Sie Freigabe verwalten aus.

7. Die AWS RAM Konsole wird geöffnet, wenn „Teilen verwalten“ ausgewählt ist. Schritte zur gemeinsamen Nutzung einer Ressource mithilfe von AWS RAM finden Sie unter Erstellen einer Ressourcenfreigabe im AWS AWS RAM im RAM-Benutzerhandbuch.

8. Das Konto, das aufgefordert wurde, eine Einladung anzunehmen, um eine Freigabe zu erhalten, hat 12 Stunden Zeit, die Einladung anzunehmen. Weitere Informationen finden Sie unter Annehmen und Ablehnen von Einladungen zur Ressourcenfreigabe im AWS -RAM-Benutzerhandbuch.

9. Wenn die Schritte für die Freigabe abgeschlossen und akzeptiert wurden, wird die Seite mit der Tresorübersicht unter Gemeinsame Nutzung von Konten = Geteilt – siehe Tabelle zur gemeinsamen Nutzung von Konten unten angezeigt.

AWS CLI

AWS RAM verwendet den CLI-Befehlcreate-resource-share. Der Zugriff auf diesen Befehl ist nur für Konten mit ausreichenden Berechtigungen verfügbar. Die CLI-Schritte finden Sie unter Erstellen einer Ressourcenfreigabe in AWS RAM.

Die Schritte 1 bis 4 werden mit dem Konto ausgeführt, dem der logische Air-Gapped Vault gehört. Die Schritte 5 bis 8 werden mit dem Konto ausgeführt, für das der logische Air-Gapped Vault freigegeben werden soll.

1. Melden Sie sich bei dem Eigentümerkonto an ODER fordern Sie einen Benutzer in Ihrer Organisation, der über ausreichende Anmeldeinformationen für den Zugriff auf das Quellkonto verfügt, auf, diese Schritte durchzuführen.

   1. Wenn zuvor eine Ressourcenfreigabe erstellt wurde und Sie ihr eine zusätzliche Ressource hinzufügen möchten, verwenden Sie stattdessen die CLI associate-resource-share mit dem ARN des neuen Tresors.

2. Rufen Sie die Anmeldeinformationen einer Rolle mit ausreichenden Berechtigungen für die Freigabe über RAM ab. Geben Sie diese in die CLI ein.

   1. Die Berechtigung ram:CreateResourceShare ist für dieses Verfahren erforderlich. Die Richtlinie AWSResourceAccessManagerFullAccess enthält alle RAM-related Berechtigungen.

3. Verwenden Sie create-resource-share.

   1. Geben Sie den ARN des logischen Air-Gapped Vault an.

   2. Beispieleingabe:

      aws ram create-resource-share
      --name MyLogicallyAirGappedVault
      --resource-arns arn:aws:backup:us-east-1:123456789012:backup-vault:test-vault-1
      --principals 123456789012
      --region us-east-1

   3. Beispielausgabe:

      {
         "resourceShare":{
            "resourceShareArn":"arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543",
            "name":"MyLogicallyAirGappedVault",
            "owningAccountId":"123456789012",
            "allowExternalPrincipals":true,
            "status":"ACTIVE",
            "creationTime":"2021-09-14T20:42:40.266000-07:00",
            "lastUpdatedTime":"2021-09-14T20:42:40.266000-07:00"
         }
      }

4. Kopieren Sie den Ressourcenfreigabe-ARN in die Ausgabe (benötigt für nachfolgende Schritte). Geben Sie den ARN an den Betreiber des Kontos weiter, das Sie einladen, die Freigabe zu erhalten.

5. Abrufen des Ressourcenfreigabe-ARN

   1. Wenn Sie die Schritte 1 bis 4 nicht ausgeführt haben, beziehen Sie die Ressource ShareArn von demjenigen, der dies getan hat.

   2. Beispiel: arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543

6. Übernehmen Sie in der CLI die Anmeldeinformationen des Empfängerkontos.

7. Rufen Sie mit get-resource-share-invitations die Ressourcenfreigabeeinladung ab. Weitere Informationen finden Sie unter Annehmen und Ablehnen von Ressourcenfreigabeeinladungen im AWS RAM -Benutzerhandbuch.

8. Nehmen Sie die Einladung im Zielkonto (Wiederherstellungskonto) an.

   1. Verwenden Sie accept-resource-share-invitation (reject-resource-share-invitation auch möglich).

Sie können AWS RAM CLI-Befehle verwenden, um gemeinsam genutzte Elemente anzuzeigen:

• Ressourcen, die Sie geteilt haben:

  aws ram list-resources --resource-owner SELF --resource-type backup:backup-vault --region us-east-1

• Zeige den Schulleiter:

  aws ram get-resource-share-associations --association-type PRINCIPAL --region us-east-1

• Ressourcen, die von anderen Konten gemeinsam genutzt werden:

  aws ram list-resources --resource-owner OTHER-ACCOUNTS --resource-type backup:backup-vault --region us-east-1

Stellen Sie ein Backup aus einem Tresor mit logischem Air-Gap wieder her

Sie können ein Backup, das in einem Tresor mit logischem Air-Gap gespeichert ist, entweder von dem Konto, dem der Tresor gehört, oder von einem beliebigen Konto, mit dem der Tresor gemeinsam genutzt wird, wiederherstellen.

Informationen https://docs.aws.amazon.com/aws-backup/latest/devguide/restoring-a-backup.html zur Wiederherstellung eines Wiederherstellungspunkts über die Konsole finden Sie unter Wiederherstellen eines Backups. AWS Backup

Sobald ein Backup aus einem Logic-Air-Gap-Speicher an Ihr Konto weitergegeben wurde, können Sie es verwenden, start-restore-job um das Backup wiederherzustellen.

Eine CLI-Beispieleingabe kann den folgenden Befehl und die folgenden Parameter enthalten:

aws backup start-restore-job
--recovery-point-arn arn:aws:backup:us-east-1:accountnumber:recovery-point:RecoveryPointID
--metadata {\"availabilityzone\":\"us-east-1d\"}
--idempotency-token TokenNumber
--resource-type ResourceType
--iam-role arn:aws:iam::number:role/service-role/servicerole
--region us-east-1

Löschen Sie einen Tresor mit logischem Air-Gap

Siehe Löschen eines Tresors. Tresore können nicht gelöscht werden, wenn sie noch Backups (Wiederherstellungspunkte) enthalten. Stellen Sie sicher, dass der Tresor keine Backups enthält, bevor Sie einen Löschvorgang starten.

Beim Löschen eines Tresors wird auch der mit dem Tresor verknüpfte Schlüssel sieben Tage nach dem Löschen des Tresors gemäß der Richtlinie zum Löschen von Schlüsseln gelöscht.

Der folgende CLI-Beispielbefehl delete-backup-vault kann verwendet werden, um einen Tresor zu löschen.

aws backup delete-backup-vault
--region us-east-1 
--backup-vault-name testvaultname

Zusätzliche programmatische Optionen für Tresore mit logischem Air-Gap

Der CLI-Befehl list-backup-vaults kann so geändert werden, dass er alle Tresore auflistet, die dem Konto gehören und in diesem vorhanden sind:

aws backup list-backup-vaults
--region us-east-1

Um nur die logischen Air-Gapped Vaults aufzulisten, fügen Sie diesen Parameter hinzu:

--by-vault-type LOGICALLY_AIR_GAPPED_BACKUP_VAULT

Schließen Sie den Parameter einby-shared, um die zurückgegebene Liste der Tresore so zu filtern, dass nur gemeinsam genutzte Tresore mit logischem Air-Gap angezeigt werden. Die Antwort enthält Informationen zum Typ des Verschlüsselungsschlüssels für jeden gemeinsam genutzten Tresor.

aws backup list-backup-vaults
--region us-east-1
--by-shared

Beispielantwort mit Informationen zum Typ des Verschlüsselungsschlüssels:

{
    "BackupVaultList": [
        {
            "BackupVaultName": "shared-logically air-gapped-vault",
            "BackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:shared-logically air-gapped-vault",
            "VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
            "EncryptionKeyType": "AWS_OWNED_KMS_KEY",
            "CreationDate": "2024-07-25T16:05:23.554000-07:00",
            "Locked": true,
            "MinRetentionDays": 7,
            "MaxRetentionDays": 30
        }
    ]
}

Grundlegendes zu den Verschlüsselungsschlüsseltypen für Tresore mit logischem Air-Gap

Tresore mit logischem Air-Gap unterstützen verschiedene Arten von Verschlüsselungsschlüsseln, und diese Informationen sind über APIs und die Konsole sichtbar. AWS Backup Wenn Tresore über AWS RAM oder MPA gemeinsam genutzt werden, werden die Informationen zum Typ des Verschlüsselungsschlüssels beibehalten und für Konten sichtbar gemacht, mit denen der Tresor gemeinsam genutzt wird. Diese Transparenz hilft Ihnen, die Verschlüsselungskonfiguration von Tresoren zu verstehen und fundierte Entscheidungen über Sicherungs- und Wiederherstellungsvorgänge zu treffen.

Werte des Typs des Verschlüsselungsschlüssels

Das EncryptionKeyType Feld kann die folgenden Werte haben:

Wichtige Richtlinie für die Erstellung eines CMK-verschlüsselten, logisch nach Air-Gaps ausgerichteten Tresors

Wenn Sie einen Tresor mit logischem Air-Gap-Zugang mit einem vom AWS Kunden verwalteten Schlüssel erstellen, müssen Sie die -managed Policy auf Ihre Kontorolle anwenden. AWSBackupFullAccess Diese Richtlinie umfasst Allow Aktionen, die es ermöglichen AWS Backup , bei Sicherungs-, Kopier AWS KMS - und Speichervorgängen mit KMS-Schlüsseln zu interagieren oder Zuschüsse zu erstellen. Darüber hinaus müssen Sie sicherstellen, dass Ihre Richtlinie für vom Kunden verwaltete Schlüssel (sofern verwendet) bestimmte erforderliche Berechtigungen enthält.

{  
    "Sid": "Allow use of the key to create a logically air-gapped vault",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[account-id]:role/TheRoleToAccessAccount"  
    },  
    "Action": [  
        "kms:CreateGrant",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*",  
   "Condition": {  
        "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
        }  
   }  
}

Wichtige Richtlinie für copy/restore

Um Auftragsausfälle zu vermeiden, überprüfen Sie Ihre AWS KMS wichtigste Richtlinie und stellen Sie sicher, dass sie alle erforderlichen Berechtigungen enthält und keine Ablehnungsbefehle enthält, die den Betrieb blockieren könnten. Es gelten die folgenden Bedingungen:

{  
    "Sid": "Allow use of the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole"      //[Source copy role]          
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*",  
   "Condition": {  
         "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
         }  
   }  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Source copy role]   
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        },  
        "StringLike": {  
            "kms:ViaService": "backup.*.amazonaws.com"  
        }  
    }  
}

{  
    "Sid": "Allow use of the key for copy from a CMK encrypted logically air-gapped vault to normal backup vault",
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole",      //[Source copy role]  
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]    
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*"  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
          "AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole",      //[Source copy role]  
                  "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]   
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        }  
    }  
}

{  
    "Sid": "Allow use of the key for copy/restore from a recovery account",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole", //[Recovery account copy/restore role]
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"] //[Destination SLR]    
    },  
    "Action": [  
        "kms:Encrypt",  
        "kms:Decrypt",  
        "kms:ReEncrypt*",  
        "kms:GenerateDataKey*",  
        "kms:DescribeKey"  
    ],  
    "Resource": "*"  
},  
{  
    "Sid": "Allow AWS Backup to create grant on the key for copy",  
    "Effect": "Allow",  
    "Principal": {  
        "AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Recovery account copy/restore role]    
                "arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]  
                  
    },  
    "Action": [  
        "kms:CreateGrant"  
    ],  
    "Resource": "*",  
    "Condition": {  
        "Bool": {  
            "kms:GrantIsForAWSResource": "true"  
        }  
    }  
}

IAM Role (IAM-Rolle)

Bei Kopiervorgängen im Tresor mit logischem Air-Gap können Kunden die Option verwenden, die auch die AWSBackupDefaultServiceRole -verwaltete Richtlinie beinhaltet. AWSAWSBackupServiceRolePolicyForBackup Wenn Kunden jedoch den Ansatz der Least-Privilege-Richtlinie bevorzugen, muss ihre IAM-Richtlinie eine bestimmte Anforderung enthalten:

{  
    "Version": "2012-10-17",  
    "Statement": [  
         {  
            "Sid": "KMSPermissions",  
            "Effect": "Allow",  
            "Action": "kms:DescribeKey",  
            "Resource": [  
                "arn:aws:kms:*:[source-account-id]:key/*",  - Source logically air-gapped vault CMK -   
                "arn:aws:kms:*:[destination-account-id]:key/*".  - Destination logically air-gapped vault CMK -   
            ]  
        },  
        {  
            "Sid": "KMSCreateGrantPermissions",  
            "Effect": "Allow",  
            "Action": "kms:CreateGrant",  
            "Resource": [  
                "arn:aws:kms:*:[source-account-id]:key/*",  - Source logically air-gapped vault CMK -   
                "arn:aws:kms:*:[destination-account-id]:key/*".  - Destination logically air-gapped vault CMK -   
            ]  
            "Condition": {  
                "Bool": {  
                    "kms:GrantIsForAWSResource": "true"  
                }  
            }  
        },  
    ]  
}

Daher tritt einer der häufigsten Kundenfehler beim Kopieren auf, wenn Kunden nicht genügend Berechtigungen für ihre CMKs und Kopierrollen vergeben.

Typen von Verschlüsselungsschlüsseln anzeigen

Sie können Informationen zum Verschlüsselungsschlüsseltyp sowohl über die AWS Backup Konsole als auch programmgesteuert mithilfe der SDKs AWS CLI oder anzeigen.

Konsole: Wenn Sie in der AWS Backup Konsole Tresore mit logischem Air-Gap anzeigen, wird der Typ des Verschlüsselungsschlüssels auf der Seite mit den Tresordetails im Abschnitt mit den Sicherheitsinformationen angezeigt.

AWS CLI/API: Der Typ des Verschlüsselungsschlüssels wird als Antwort auf die folgenden Operationen zurückgegeben, wenn Tresore mit logischem Air-Gap abgefragt werden:

Überlegungen zur Tresorverschlüsselung

Beachten Sie bei der Arbeit mit Logic-Airgap-Depots und Verschlüsselungsschlüsseltypen Folgendes:

Verwendung eines diensteigenen Schlüssels

AWS Backup erstellt und verwaltet Verschlüsselungsschlüssel, die verwendet werden, um alle Backup-Daten zu verschlüsseln, die in Logic Air-Gap-Depots gespeichert sind, um den Zugriff auf den Verschlüsselungsschlüssel bei einem Datenverlust zu schützen und zu verhindern, dass er verloren geht.

Weitere Informationen finden Sie in der Dokumentation AWS KMS .

Überlegungen zur automatischen Sicherheitsbehebung

Beim AWS Backup Kopieren eines EC2-Backups (AMI) in einen Logic Airgapped Tresor werden die Daten vorübergehend (auf dem AMI) und launchPermission createVolumePermission (auf den zugehörigen EBS-Snapshots) einem diensteigenen Konto zugewiesen. Diese Berechtigungen werden nach Abschluss des Kopiervorgangs automatisch entzogen.

Bei diesen Vorgängen werden ModifySnapshotAttribute Ereignisse in Ihren AWS CloudTrail Protokollen generiertModifyImageAttribute, wobei der Wert auf userIdentity.invokedBy backup.amazonaws.com gesetzt ist.

Wenn Sie über eine Logik zur automatischen Sicherheitsbehebung verfügen (z. B. EventBridge Amazon-Regeln mit AWS Lambda), die diese Ereignisse überwacht und die kontoübergreifende gemeinsame Nutzung widerruft, müssen Sie Ereignisse ausschließen, bei denen dies der Fall ist. userIdentity.invokedBy backup.amazonaws.com Andernfalls schlägt das Kopieren von Aufträgen in Logical-Air-Gap-Depots fehl mit der Meldung: „Sie sind nicht berechtigt, auf den Speicher dieses AMIs zuzugreifen.“

Dieser Ausschluss ist sicher, da das Kopieren durch Ihre Tresorzugriffsrichtlinien (backup:CopyFromBackupVaultfür den Quell-Tresor und den Ziel-Tresor) autorisiert ist. Diese Richtlinien werden überprüft, bevor Änderungen backup:CopyIntoBackupVault an EC2-Attributen vorgenommen werden. Die temporären Berechtigungen werden nur einem festen, AWS diensteigenen Konto gewährt und nach Abschluss des Kopiervorgangs automatisch entzogen.

Beispiel für ein EventBridge Regelereignismuster, das Operationen ausschließt AWS Backup :

{
  "source": ["aws.ec2"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["ec2.amazonaws.com"],
    "eventName": ["ModifySnapshotAttribute", "ModifyImageAttribute"],
    "userIdentity": {
      "invokedBy": [{"anything-but": "backup.amazonaws.com"}]
    }
  }
}

Beheben Sie ein Problem mit logischem Air-Gap-Speicher

Wenn Sie während Ihres Workflows auf Fehler stoßen, sehen Sie sich die folgenden Beispielfehler und Lösungsvorschläge an:

Der EC2-AMI-Kopiervorgang zum Logically Air-Gapped Tresor schlägt mit einem Berechtigungsfehler fehl

Fehler: Copy job fails with "You do not have permission to access the storage of this ami."

Mögliche Ursache: Während eines EC2-AMI-Kopierauftrags in einen Logic Airgapped Tresor werden einem diensteigenen Konto AWS Backup vorübergehend die Startberechtigung (AMI) und die Berechtigung zum Erstellen von Volumes (EBS-Snapshot) erteilt, wodurch Ereignisse in Ihren Protokollen generiert werden. ModifyImageAttribute ModifySnapshotAttribute AWS CloudTrail Wenn Sie über eine Logik zur automatischen Sicherheitsbehebung verfügen (z. B. EventBridge Regeln mit Lambda), die diese Ereignisse überwacht und kontoübergreifende Freigabeberechtigungen automatisch widerruft, kann der temporäre Zugriff entfernt werden, bevor der Kopiervorgang abgeschlossen ist.

Lösung: Aktualisieren Sie Ihr EventBridge Regelereignismuster, um Operationen auszuschließen, die von AWS Backup ausgeführt wurden. Schließen Sie insbesondere Ereignisse aus, bei denen sichergestellt userIdentity.invokedBy wirdbackup.amazonaws.com, dass Ihre Autokorrekturlogik die temporären kontoübergreifenden Berechtigungen, die während des Kopiervorgangs AWS Backup gewährt werden, nicht widerruft.

AccessDeniedException

Fehler: An error occured (AccessDeniedException) when calling the [command] operation: Insufficient privileges to perform this action."

Mögliche Ursache: Der Parameter --backup-vault-account-id war nicht enthalten, als eine der folgenden Anforderungen in einem von RAM gemeinsam genutzten Tresor ausgeführt wurde:

Lösung: Wiederholen Sie den Befehl, der den Fehler zurückgegeben hat, geben Sie jedoch den Parameter an, der --backup-vault-account-id das Konto angibt, dem der Tresor gehört.

OperationNotPermittedException

Fehler: OperationNotPermittedException wird nach einem CreateResourceShare Anruf zurückgegeben.

Mögliche Ursache: Wenn Sie versucht haben, eine Ressource, z. B. einen Tresor mit logischem Air-Gap, mit einer anderen Organisation gemeinsam zu nutzen, tritt möglicherweise diese Ausnahme auf. Ein Tresor kann mit einem Konto in einer anderen Organisation geteilt werden, aber er kann nicht mit der anderen Organisation selbst geteilt werden.

Lösung: Versuchen Sie den Vorgang erneut, geben Sie jedoch als Wert für ein Konto principals anstelle einer Organisation oder Organisationseinheit ein.

Der Typ des Verschlüsselungsschlüssels wird nicht angezeigt

Problem: Der Typ des Verschlüsselungsschlüssels ist nicht sichtbar, wenn ein Tresor mit logischem Air-Gap oder dessen Wiederherstellungspunkten angezeigt wird.

Mögliche Ursachen:

Auflösung

„FEHLGESCHLAGEN“ AccessDeniedException in VaultState den Protokollen CloudTrail

Fehler in CloudTrail: "User: <assumed role> is not authorized to perform: kms:CreateGrant on this resource because the resource does not exist in this Region, no resource-based policies allow access, or a resource-based policy explicitly denies access"

Mögliche Ursachen:

Auflösung

Der Backup-Tresor für den Zugriff auf Wiederherstellung im Status „FEHLGESCHLAGEN“ kann nicht entfernt werden

Fehler: Ein Backup-Tresor für den Wiederherstellungszugriff steckt im Status FEHLGESCHLAGEN fest. RevokeRestoreAccessBackupVaultgibt einen Fehler zurück, bei dem der Tresor den Status AVAILABLE haben muss, und CreateRestoreAccessBackupVault kehrt zurückLimitExceededException.

Mögliche Ursachen:

Lösung: Rufen Sie DeleteBackupVault vom Wiederherstellungskonto aus an, um den Backup-Tresor mit fehlgeschlagenem Wiederherstellungszugriff zu entfernen. RevokeRestoreAccessBackupVaultgilt nur für Tresore im Status AVAILABLE. Vault Lock verhindert dieses Löschen nicht, da ein Backup-Tresor mit Wiederherstellungszugriff eine Ansicht des zugrunde liegenden Tresors mit logischem Air-Gap bietet und keine eigenen Wiederherstellungspunkte enthält. Korrigieren Sie nach dem Löschen die KMS-Schlüsselrichtlinie und fügen Sie die entsprechenden mpa:StartSession Berechtigungen hinzu, bevor Sie den Tresor neu erstellen.