Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografia per i backup in AWS Backup

Crittografia indipendente di

AWS Backup offre una crittografia indipendente per i tipi di risorse che supportano la gestione completa AWS Backup . La crittografia indipendente significa che i punti di ripristino (backup) creati AWS Backup possono avere un metodo di crittografia diverso da quello determinato dalla crittografia della risorsa di origine. Ad esempio, il backup di un bucket Amazon S3 può avere un metodo di crittografia diverso rispetto al bucket di origine crittografato con la crittografia Amazon S3. Questa crittografia è controllata tramite la configurazione della AWS KMS chiave nel deposito di backup in cui è archiviato il backup.

I backup di tipi di risorse che non sono completamente gestiti da AWS Backup in genere ereditano le impostazioni di crittografia dalla risorsa di origine. Puoi configurare queste impostazioni di crittografia in base alle istruzioni del servizio, ad esempio la crittografia di Amazon EBS nella Guida per l'utente di Amazon EBS.

Il tuo ruolo IAM deve avere accesso alla chiave KMS utilizzata per eseguire il backup e il ripristino dell'oggetto. In caso contrario, il processo ha esito positivo ma non viene eseguito il backup o il ripristino degli oggetti. Le autorizzazioni nella policy IAM e nella policy chiave KMS devono essere coerenti. Per ulteriori informazioni, consulta Specificare le chiavi KMS nelle dichiarazioni delle politiche IAM nella Developer Guide. AWS Key Management Service

Nella tabella seguente sono elencati i vari tipi di risorsa supportati e viene indicato il modo in cui la crittografia viene configurata per i backup e se è supportata la crittografia indipendente per i backup. Quando crittografa AWS Backup in modo indipendente un backup, utilizza l'algoritmo di crittografia standard del settore AES-256 . Per ulteriori informazioni sulla crittografia in AWS Backup, consulta Backup tra aree geografiche e tra account. Creazione di copie di backup in tutto Account AWS

Crittografia per le copie di un backup su un altro account o Regione AWS

Quando copi i backup su più account o aree geografiche, crittografa AWS Backup automaticamente tali copie per la maggior parte dei tipi di risorse, anche se il backup originale non è crittografato. AWS Backup crittografa la copia utilizzando la chiave KMS del vault di destinazione.

Prima di copiare un backup da un account a un altro (processo di copia tra account) o copiare un backup da una regione all'altra (processo di copia interregionale), tieni presente le seguenti condizioni, molte delle quali dipendono dal fatto che il tipo di risorsa nel backup (punto di ripristino) sia completamente gestito AWS Backup o meno.

AWS Backup autorizzazioni, concessioni e dichiarazioni di rifiuto

Per evitare errori nei processi, è possibile esaminare la politica AWS KMS chiave per verificare che disponga delle autorizzazioni richieste e che non contenga dichiarazioni di rifiuto che impediscano il successo delle operazioni.

I processi non riusciti possono verificarsi a causa di una o più istruzioni Deny applicate alla chiave KMS o a causa della revoca di una concessione per la chiave.

In una politica di accesso AWS gestito AWSBackupFullAccess, ad esempio, sono presenti azioni Consenti che consentono di AWS Backup AWS KMS interfacciarsi con la creazione di una concessione su una chiave KMS per conto di un cliente nell'ambito delle operazioni di backup, copia e archiviazione.

Come minimo, la policy chiave richiede le seguenti autorizzazioni:

Se i criteri di negazione sono necessari, sarà necessario inserire nella lista consentita i ruoli richiesti per le operazioni di backup e ripristino.

Questi elementi possono assomigliare a:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
      {
          "Sid": "KmsPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:root"
          },
          "Action": [
              "kms:ListKeys",
              "kms:DescribeKey",
              "kms:GenerateDataKey",
              "kms:ListAliases"
          ],
          "Resource": "*"
      },
      {
          "Sid": "KmsCreateGrantPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:root"
          },
          "Action": [
              "kms:CreateGrant"
          ],
          "Resource": "*",
          "Condition": {
              "ForAnyValue:StringEquals": {
                  "kms:EncryptionContextKeys": "aws:backup:backup-vault"
              },
              "Bool": {
                  "kms:GrantIsForAWSResource": true
              },
              "StringLike": {
                  "kms:ViaService": "backup.*.amazonaws.com"
              }
          }
      }
    ]
}

Per le chiavi gestite dal cliente, assicurati che queste autorizzazioni siano incluse nella politica delle chiavi. Puoi visualizzare e aggiornare la politica chiave seguendo i passaggi seguenti.

Per le chiavi AWS gestite (come aws/backup oaws/ebs), queste autorizzazioni sono già incluse nella policy chiave AWS e non possono essere modificate dal cliente.

Inoltre, la chiave associata al ruolo che avvia un processo di copia interregionale deve essere inclusa nell'autorizzazione. "kms:ResourceAliases": "alias/aws/backup" DescribeKey