Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Enkripsi untuk cadangan di AWS Backup

Enkripsi independen

AWS Backup menawarkan enkripsi independen untuk jenis sumber daya yang mendukung AWS Backup manajemen penuh. Enkripsi independen berarti bahwa titik pemulihan (cadangan) yang Anda buat AWS Backup dapat memiliki metode enkripsi selain yang ditentukan oleh enkripsi sumber daya sumber. Misalnya, cadangan bucket Amazon S3 Anda dapat memiliki metode enkripsi yang berbeda dari bucket sumber yang Anda enkripsi dengan enkripsi Amazon S3. Enkripsi ini dikendalikan melalui konfigurasi AWS KMS kunci di brankas cadangan tempat cadangan Anda disimpan.

Cadangan jenis sumber daya yang tidak sepenuhnya dikelola oleh AWS Backup biasanya mewarisi pengaturan enkripsi dari sumber daya sumbernya. Anda dapat mengonfigurasi pengaturan enkripsi ini sesuai dengan instruksi layanan tersebut, seperti enkripsi Amazon EBS di Panduan Pengguna Amazon EBS.

Peran IAM Anda harus memiliki akses ke kunci KMS yang digunakan untuk membuat cadangan dan memulihkan objek. Jika tidak, pekerjaan berhasil tetapi objek tidak dicadangkan atau dipulihkan. Izin dalam kebijakan IAM dan kebijakan kunci KMS harus konsisten. Untuk informasi selengkapnya, lihat Menentukan kunci KMS dalam pernyataan kebijakan IAM di Panduan Peng AWS Key Management Service embang.

Tabel berikut mencantumkan setiap jenis sumber daya yang didukung, bagaimana enkripsi dikonfigurasi untuk pencadangan, dan apakah enkripsi independen untuk cadangan didukung. Ketika mengenkripsi cadangan AWS Backup secara independen, ia menggunakan algoritma en AES-256 kripsi standar industri. Untuk informasi selengkapnya tentang enkripsi di AWS Backup, lihat Pencad angan lintas wilayah dan lintas akun.

Enkripsi untuk salinan cadangan ke akun lain atau Wilayah AWS

Saat Anda menyalin cadangan di seluruh akun atau Wilayah, AWS Backup secara otomatis mengenkripsi salinan tersebut untuk sebagian besar jenis sumber daya, bahkan jika cadangan asli tidak dienkripsi. AWS Backup mengenkripsi salinan menggunakan kunci KMS dari vault target.

Sebelum menyalin cadangan dari satu akun ke akun lain (pekerjaan penyalinan lintas akun) atau menyalin cadangan dari satu Wilayah ke Wilayah lainnya (pekerjaan penyalinan lintas wilayah), perhatikan kondisi berikut, banyak di antaranya bergantung pada apakah jenis sumber daya dalam cadangan (titik pemulihan) dikelola sepenuhnya oleh AWS Backup atau tidak sepenuhnya dikelola.

AWS Backup izin, pemberian, dan pernyataan penolakan

Untuk membantu menghindari pekerjaan yang gagal, Anda dapat memeriksa kebijakan AWS KMS utama untuk memastikannya memiliki izin yang diperlukan dan tidak memiliki pernyataan penolakan yang mencegah operasi berhasil.

Pekerjaan yang gagal dapat terjadi karena satu atau lebih pernyataan Deny yang diterapkan ke kunci KMS atau karena hibah yang dicabut untuk kunci tersebut.

Dalam kebijakan AWS akses terkelola seperti AWSBackupFullAccess, ada tindakan Izinkan yang memungkinkan AWS Backup untuk berinteraksi dengan AWS KMS untuk membuat hibah pada kunci KMS atas nama pelanggan sebagai bagian operasi pencadangan, penyalinan, dan penyimpanan.

Minimal, kebijakan kunci memerlukan izin berikut:

Jika kebijakan Tolak diperlukan, Anda harus mengizinkannya daftar peran yang diperlukan untuk operasi pencadangan dan pemulihan.

Elemen-elemen ini dapat terlihat seperti:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
      {
          "Sid": "KmsPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:root"
          },
          "Action": [
              "kms:ListKeys",
              "kms:DescribeKey",
              "kms:GenerateDataKey",
              "kms:ListAliases"
          ],
          "Resource": "*"
      },
      {
          "Sid": "KmsCreateGrantPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:root"
          },
          "Action": [
              "kms:CreateGrant"
          ],
          "Resource": "*",
          "Condition": {
              "ForAnyValue:StringEquals": {
                  "kms:EncryptionContextKeys": "aws:backup:backup-vault"
              },
              "Bool": {
                  "kms:GrantIsForAWSResource": true
              },
              "StringLike": {
                  "kms:ViaService": "backup.*.amazonaws.com"
              }
          }
      }
    ]
}

Untuk kunci yang dikelola pelanggan, pastikan izin ini disertakan dalam kebijakan kunci. Anda dapat melihat dan memperbarui kebijakan utama menggunakan langkah-langkah di bawah ini.

Untuk AWS kunci terkelola (seperti aws/backup atauaws/ebs), izin ini sudah disertakan dalam kebijakan kunci oleh AWS dan tidak dapat dimodifikasi oleh pelanggan.

Selain itu, kunci yang terkait dengan peran yang memulai pekerjaan penyalinan lintas wilayah harus ada "kms:ResourceAliases": "alias/aws/backup" dalam DescribeKey izin.