Creación de copias de las copias de seguridad entre Cuentas de AWS

Con AWS Backup, puede hacer copias de seguridad en varias Cuentas de AWS bajo demanda o de forma automática, como parte de un plan programado. Utilice las copias de seguridad entre cuentas si desea copiar de forma segura sus copias de seguridad en una o más Cuentas de AWS de su organización por motivos operativos o de seguridad. Si la copia de seguridad original se elimina accidentalmente, puede copiar la copia de seguridad de su cuenta de destino a su cuenta de origen y, a continuación, iniciar la restauración. Para poder hacerlo, debe tener dos cuentas que pertenezcan a la misma organización en el servicio AWS Organizations. Para obtener más información, consulte Tutorial: Creación y configuración de una organización en la Guía del usuario de Organizations.

En su cuenta de destino, debe crear un almacén de copias de seguridad. A continuación, debe asignar una clave administrada por el cliente para cifrar las copias de seguridad en la cuenta de destino y una política de acceso basada en recursos para permitir que AWS Backup acceda a los recursos que desee copiar. En la cuenta de origen, si sus recursos están cifrados con una clave administrada por el cliente, debe compartir esta clave con la cuenta de destino. A continuación, puede crear un plan de copia de seguridad y elegir una cuenta de destino que forme parte de su unidad organizativa en AWS Organizations.

La primera vez que replique una copia de seguridad entre cuentas, AWS Backup la copiará en su totalidad. En general, si un servicio admite copias de seguridad incrementales, las copias posteriores de esa copia de seguridad incluidas en la misma cuenta serán incrementales. AWS Backup volverá a cifrar su copia con la clave administrada por el cliente de su almacén de destino.

Configuración de la copia de seguridad entre cuentas

Para obtener información acerca de la seguridad, consulte Consideraciones de seguridad para la copia de seguridad entre cuentas.

Para utilizar la copia de seguridad entre cuentas, debe habilitar la característica de copia de seguridad entre cuentas. A continuación, debe “permitir” la política de acceso backup:CopyIntoBackupVault a su almacén de copias de seguridad de destino.

Amazon EC2 ofrece AMI permitidas para EC2. Si esta configuración está habilitada en su cuenta, añada el ID de su cuenta de origen a la lista de permitidos. De lo contrario, la operación de copia fallará y aparecerá un mensaje de error como “Source AMI not found in Region”.

Programación de copias de seguridad entre cuentas

Puede utilizar un plan de copia de seguridad programadas para copiar las copias de seguridad en Cuentas de AWS.

Realización de copias de seguridad entre cuentas bajo demanda

Puede copiar una copia de seguridad a otra Cuenta de AWS bajo demanda.

Claves de cifrado y copias entre cuentas

Consulte Cifrado para obtener una copia de seguridad en una cuenta o Región de AWS para obtener más información sobre el funcionamiento del cifrado en un trabajo de copia.

Si necesita ayuda adicional para solucionar errores de copia entre cuentas, consulte el AWS Knowledge Center.

Restauración de una copia de seguridad de una Cuenta de AWS a otra

AWS Backup no admite la recuperación de recursos de una Cuenta de AWS a otra. Sin embargo, puede copiar una copia de seguridad desde una cuenta a otra diferente y, a continuación, restaurarla en esa cuenta. Por ejemplo, no puede restaurar una copia de seguridad de la cuenta A a la cuenta B, pero puede copiar una copia de seguridad de la cuenta A a la cuenta B y, a continuación, restaurarla en la cuenta B.

La restauración de una copia de seguridad de una cuenta a otra es un proceso de dos pasos.

Intercambio de un almacén de copias de seguridad con una cuenta de AWS diferente

AWS Backup le permite compartir un almacén de copias de seguridad con una o varias cuentas, o con toda su organización en AWS Organizations. Puede compartir un almacén de copias de seguridad de destino con una cuenta de AWS, un usuario o un rol de IAM de origen.

Puede utilizar las políticas de IAM para compartir su almacén de copias de seguridad.

Compartir un almacén de copias de seguridad de destino con una Cuenta de AWS o rol de IAM

La siguiente política comparte un almacén de copias de seguridad con el número de cuenta 4444555566666 y el rol de IAM SomeRole en el número de cuenta 111122223333.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":[
          "arn:aws:iam::444455556666:root",
          "arn:aws:iam::111122223333:role/SomeRole"
        ]
      },
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*"
    }
  ]
}

Compartir un almacén de copias de seguridad de destino en una unidad organizativa en AWS Organizations

La siguiente política comparte un almacén de copias de seguridad con las unidades organizativas que utilizan su PrincipalOrgPaths.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAnyValue:StringLike":{
          "aws:PrincipalOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Compartir un almacén de copias de seguridad de destino con una organización en AWS Organizations

La siguiente política comparte un almacén de copias de seguridad con la organización con un PrincipalOrgID de “o-a1b2c3d4e5”.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":"*",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "StringEquals":{
          "aws:PrincipalOrgID":[
            "o-a1b2c3d4e5"
          ]
        }
      }
    }
  ]
}

Configuración de la cuenta como cuenta de destino

La primera vez que habilite las copias de seguridad entre cuentas con su cuenta de administración de AWS Organizations, cualquier usuario de una cuenta miembro puede configurar su cuenta para que sea una cuenta de destino. Se recomienda configurar una o más de las siguientes políticas de control de servicios (SCP) en AWS Organizations para limitar tus cuentas de destino. Para obtener más información sobre cómo asociar políticas de control de servicios a los nodos de AWS Organizations, consulte Asociar y desasociar políticas de control de servicios.

Limitar las cuentas de destino mediante etiquetas

Cuando se asocia a una cuenta raíz de AWS Organizations, unidad organizativa o cuenta individual, esta política limita los destinos de las copias de esa raíz, unidad organizativa o cuenta a solo aquellas cuentas con almacenes de copias de seguridad que haya etiquetado DestinationBackupVault. El permiso "backup:CopyIntoBackupVault" controla el comportamiento del almacén de copias de seguridad y, en este caso, qué almacenes de copias de seguridad de destino son válidos. Utilice esta política, junto con la etiqueta correspondiente que se aplica a los almacenes de destino aprobados, para controlar el destino de las copias entre cuentas únicamente a las cuentas y almacenes de copia de seguridad aprobados.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyIntoBackupVault",
      "Resource":"*",
      "Condition":{
        "Null":{
          "aws:ResourceTag/DestinationBackupVault":"true"
        }
      }
    }
  ]
}

Limitar las cuentas de destino mediante números de cuenta y nombres de almacén

Cuando se asocia a una cuenta raíz de AWS Organizations, unidad organizativa o cuenta individual, esta política limita las copias que se originan desde esa raíz, unidad organizativa o cuenta a dos cuentas de destino. El permiso "backup:CopyFromBackupVault" controla el comportamiento de un punto de recuperación del almacén de copias de seguridad y, en este caso, los destinos a los que se puede copiar ese punto de recuperación. El almacén de origen solo permitirá realizar copias en la primera cuenta de destino (112233445566) si uno o varios nombres del almacén de copias de seguridad de destino comienzan por cab-. El almacén de origen solo permitirá realizar copias en la segunda cuenta de destino (123456789012) si el destino es un almacén de copias de seguridad único llamado fort-knox.

Limitar las cuentas de destino mediante unidades organizativas en AWS Organizations

Cuando se asocia a una raíz o unidad organizativa de AWS Organizations que contenga la cuenta de origen, o cuando se asocia a su cuenta de origen, la siguiente política limita las cuentas de destino a las cuentas incluidas en las dos unidades organizativas especificadas.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement":[
    {
      "Effect":"Deny",
      "Action":"backup:CopyFromBackupVault",
      "Resource":"*",
      "Condition":{
        "ForAllValues:StringNotLike":{
          "backup:CopyTargetOrgPaths":[
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
            "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/ou-jkl0-awsddddd/*"
          ]
        }
      }
    }
  ]
}

Consideraciones de seguridad para la copia de seguridad entre cuentas

Tenga en cuenta lo siguiente cuando realice copias de seguridad entre cuentas en AWS Backup: