Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement pour les sauvegardes dans AWS Backup

Chiffrement indépendant

AWS Backup propose un chiffrement indépendant pour les types de ressources qui prennent en charge AWS Backup la gestion complète. Le chiffrement indépendant signifie que les points de restauration (sauvegardes) que vous créez AWS Backup peuvent avoir une méthode de chiffrement autre que celle déterminée par le chiffrement de la ressource source. Par exemple, votre sauvegarde d'un compartiment Amazon S3 peut utiliser une méthode de chiffrement différente de celle du compartiment source que vous avez chiffré avec le chiffrement Amazon S3. Ce chiffrement est contrôlé par le biais de la configuration des AWS KMS clés dans le coffre de sauvegarde dans lequel votre sauvegarde est stockée.

Les sauvegardes de types de ressources qui ne sont pas entièrement gérés par héritent AWS Backup généralement des paramètres de chiffrement de leur ressource source. Vous pouvez configurer ces paramètres de chiffrement conformément aux instructions de ce service, telles que le chiffrement Amazon EBS dans le guide de l'utilisateur Amazon EBS.

Votre rôle IAM doit avoir accès à la clé KMS utilisée pour sauvegarder et restaurer l'objet. Dans le cas contraire, la tâche est réussie mais les objets ne sont ni sauvegardés ni restaurés. Les autorisations de la politique IAM et de la politique des clés KMS doivent être cohérentes. Pour plus d'informations, consultez la section Spécification des clés KMS dans les déclarations de politique IAM du Guide du AWS Key Management Service développeur.

Le tableau suivant répertorie chaque type de ressource pris en charge. Il indique également la façon dont le chiffrement est configuré pour les sauvegardes et si un chiffrement indépendant est pris en charge pour les sauvegardes. Lorsqu' AWS Backup chiffre une sauvegarde de manière indépendante, il utilise l'algorithme de chiffrement AES-256 standard. Pour plus d'informations sur le chiffrement dans AWS Backup, consultez la section Sauvegarde entre régions et entre comptes.

Chiffrement des copies d'une sauvegarde sur un autre compte ou Région AWS

Lorsque vous copiez vos sauvegardes entre comptes ou régions, les copies sont AWS Backup automatiquement chiffrées pour la plupart des types de ressources, même si la sauvegarde d'origine n'est pas chiffrée. AWS Backup chiffre la copie à l'aide de la clé KMS du coffre cible.

Avant de copier une sauvegarde d'un compte vers un autre (tâche de copie entre comptes) ou de copier une sauvegarde d'une région à une autre (tâche de copie interrégionale), tenez compte des conditions suivantes, dont la plupart dépendent du fait que le type de ressource de la sauvegarde (point de restauration) est entièrement géré par AWS Backup ou non entièrement géré.

AWS Backup autorisations, autorisations et déclarations de refus

Pour éviter l'échec des tâches, vous pouvez examiner la politique AWS KMS clé pour vous assurer qu'elle dispose des autorisations requises et qu'elle ne contient aucune déclaration de refus empêchant le succès des opérations.

Les tâches échouées peuvent se produire en raison d'une ou de plusieurs instructions Deny appliquées à la clé KMS ou en raison d'une autorisation révoquée pour la clé.

Dans une politique d'accès AWS géré telle que AWSBackupFullAccess, certaines actions Autoriser permettent de créer une interface AWS Backup AWS KMS pour créer une autorisation sur une clé KMS au nom d'un client dans le cadre des opérations de sauvegarde, de copie et de stockage.

La politique clé nécessite au minimum les autorisations suivantes :

Si des politiques de refus sont nécessaires, vous devrez autoriser la liste des rôles requis pour les opérations de sauvegarde et de restauration.

Ces éléments peuvent ressembler à :

{
    "Version": "2012-10-17",
    "Statement": [
      {
          "Sid": "KmsPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:ListKeys",
              "kms:DescribeKey",
              "kms:GenerateDataKey",
              "kms:ListAliases"
          ],
          "Resource": "*"
      },
      {
          "Sid": "KmsCreateGrantPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:CreateGrant"
          ],
          "Resource": "*",
          "Condition": {
              "ForAnyValue:StringEquals": {
                  "kms:EncryptionContextKeys": "aws:backup:backup-vault"
              },
              "Bool": {
                  "kms:GrantIsForAWSResource": true
              },
              "StringLike": {
                  "kms:ViaService": "backup.*.amazonaws.com"
              }
          }
      }
    ]
}

Ces autorisations doivent faire partie de la clé, qu'elles soient AWS gérées ou gérées par le client.

En outre, la clé associée au rôle à l'origine d'une tâche de copie interrégionale doit figurer "kms:ResourcesAliases": "alias/aws/backup" dans l'DescribeKeyautorisation.