Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement pour les sauvegardes dans AWS Backup

Chiffrement indépendant

AWS Backup propose un chiffrement indépendant pour les types de ressources qui prennent en charge AWS Backup la gestion complète. Le chiffrement indépendant signifie que les points de restauration (sauvegardes) que vous créez AWS Backup peuvent utiliser une méthode de cryptage différente de celle déterminée par le cryptage de la ressource source. Par exemple, votre sauvegarde d'un compartiment Amazon S3 peut utiliser une méthode de cryptage différente de celle du compartiment source que vous avez chiffré avec le chiffrement Amazon S3. Ce chiffrement est contrôlé par la configuration des AWS KMS clés dans le coffre-fort de sauvegarde où votre sauvegarde est stockée.

Les sauvegardes de types de ressources qui ne sont pas entièrement gérés par héritent AWS Backup généralement des paramètres de chiffrement de leur ressource source. Vous pouvez configurer ces paramètres de chiffrement conformément aux instructions de ce service, telles que le chiffrement Amazon EBS dans le guide de l'utilisateur Amazon EBS.

Votre rôle IAM doit avoir accès à la clé KMS utilisée pour sauvegarder et restaurer l'objet. Dans le cas contraire, la tâche est réussie mais les objets ne sont ni sauvegardés ni restaurés. Les autorisations de la politique IAM et de la politique clé KMS doivent être cohérentes. Pour plus d'informations, consultez la section Spécification des clés KMS dans les déclarations de politique IAM du Guide du AWS Key Management Service développeur.

Le tableau suivant répertorie chaque type de ressource pris en charge. Il indique également la façon dont le chiffrement est configuré pour les sauvegardes et si un chiffrement indépendant est pris en charge pour les sauvegardes. Lors du chiffrement AWS Backup indépendant d'une sauvegarde, il utilise l'algorithme de AES-256 chiffrement standard de l'industrie. Pour plus d'informations sur le chiffrement dans AWS Backup, consultez la section Sauvegarde entre régions et entre comptes.

Chiffrement des copies d'une sauvegarde vers un autre compte ou Région AWS

Lorsque vous copiez vos sauvegardes entre comptes ou régions, les copies sont AWS Backup automatiquement chiffrées pour la plupart des types de ressources, même si la sauvegarde d'origine n'est pas chiffrée. AWS Backup chiffre la copie à l'aide de la clé KMS du coffre cible.

Avant de copier une sauvegarde d'un compte vers un autre (tâche de copie entre comptes) ou de copier une sauvegarde d'une région vers une autre (tâche de copie entre régions), prenez note des conditions suivantes, dont beaucoup dépendent du fait que le type de ressource de la sauvegarde (point de restauration) est entièrement géré par AWS Backup ou non.

AWS Backup déclarations d'autorisations, d'autorisations et de refus

Pour éviter l'échec des tâches, vous pouvez examiner la politique AWS KMS clé pour vous assurer qu'elle dispose des autorisations requises et qu'aucune instruction de refus n'empêche la réussite des opérations.

Les tâches échouées peuvent survenir en raison d'une ou de plusieurs instructions Deny appliquées à la clé KMS ou en raison de la révocation de l'autorisation pour la clé.

Dans une politique d'accès AWS géré telle que AWSBackupFullAccess, certaines actions Autoriser permettent d'interagir avec AWS Backup AWS KMS pour créer une autorisation sur une clé KMS au nom d'un client dans le cadre des opérations de sauvegarde, de copie et de stockage.

La politique clé nécessite au minimum les autorisations suivantes :

Si des politiques de refus sont nécessaires, vous devrez répertorier les rôles requis pour les opérations de sauvegarde et de restauration.

Ces éléments peuvent ressembler à :

JSON

{
    "Version":"2012-10-17",
    "Statement": [
      {
          "Sid": "KmsPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:root"
          },
          "Action": [
              "kms:ListKeys",
              "kms:DescribeKey",
              "kms:GenerateDataKey",
              "kms:ListAliases"
          ],
          "Resource": "*"
      },
      {
          "Sid": "KmsCreateGrantPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:root"
          },
          "Action": [
              "kms:CreateGrant"
          ],
          "Resource": "*",
          "Condition": {
              "ForAnyValue:StringEquals": {
                  "kms:EncryptionContextKeys": "aws:backup:backup-vault"
              },
              "Bool": {
                  "kms:GrantIsForAWSResource": true
              },
              "StringLike": {
                  "kms:ViaService": "backup.*.amazonaws.com"
              }
          }
      }
    ]
}

Pour les clés gérées par le client, assurez-vous que ces autorisations sont incluses dans la politique relative aux clés. Vous pouvez consulter et mettre à jour la politique clé en suivant les étapes ci-dessous.

Pour les clés AWS gérées (telles que aws/backup ouaws/ebs), ces autorisations sont déjà incluses dans la politique relative aux clés par le client AWS et ne peuvent pas être modifiées par celui-ci.

En outre, la clé associée au rôle initiant une tâche de copie interrégionale doit contenir "kms:ResourceAliases": "alias/aws/backup" l'DescribeKeyautorisation.