View a markdown version of this page

使用 AWS Backup 主控台建立報告計劃 - AWS Backup
使用以跨帳戶 KMS 金鑰加密的 S3 儲存貯體

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 AWS Backup 主控台建立報告計劃

報告有兩種類型。一種類型是任務報告，顯示過去 24 小時內完成的任務和所有作用中的任務。第二種報告類型是合規報告。合規報告可以監視資源層級或生效的其他控制項。建立報告時，請選擇要建立的報告類型。

根據您的 帳戶類型，主控台顯示可能會有所不同。只有管理帳戶能看到多帳戶功能。

與備份計畫相似，您建立的報告計畫會自動建立報告並定義其目的地 Amazon S3 儲存貯體。報告計畫要求您必須擁有 S3 儲存貯體，以便接收報告。您無法從另一個帳戶使用儲存貯體。如需設定新 S3 儲存貯體的指示，請參閱《Amazon Simple Storage Service 使用者指南》中的步驟 1：建立您的第一個 S3 儲存貯體。

在 AWS Backup 主控台中建立報告計畫

  1. 在 https：//https://console.aws.amazon.com/backup 開啟 AWS Backup 主控台。

  2. 在左側導覽窗格中，請選擇 報告。

  3. 選擇 建立報告計畫。

  4. 從清單中選擇其中一個報告範本。

  5. 輸入唯一的報告計畫名稱。此名稱的長度必須介於 1 到 256 個字元，以英文字母開頭，由英文字母 (a-z、A-Z)、數字 (0-9) 和底線 (_) 組成。

  6. (選用) 輸入報告計畫描述。

  7. 僅適用於一個帳戶的合規報告範本。選擇要報告的一或多個架構。一份報告計畫最多可新增 1,000 個架構。

    1. 選擇您的 AWS 區域。

    2. 從該區域選擇架構。

    3. 選擇 新增架構。

  8. (選用) 若要在報告計畫中新增標籤，請選擇 將標籤新增至報告計畫。

  9. 如果您使用的是管理帳戶，則可以指定要包含在此報告計畫中的帳戶。您可以選取 僅我的帳戶，這將只會產生您目前登入帳戶的報告。或者，您可以選取組織中的一或多個帳戶 (可供管理和委派管理員帳戶使用）。

  10. (如果只建立一個區域的合規報告，請略過此步驟)。您可以選取報告中要包含的區域。按一下下拉式功能表顯示您可使用的區域。選取 所有可用的區域 或您偏好的區域。

    1. 當新區域併入 Backup Audit Manager 時，包含這些區域 核取方塊會在有新區域可用時，將新的區域包含在報告中。

  11. 選擇報告的 檔案格式。所有報告均可以 CSV 格式匯出。此外，單一區域的報告可以 JSON 格式匯出。

  12. 對於 S3 儲存貯體名稱，請從您的帳戶選擇儲存貯體。

  13. (選用) 輸入儲存貯體字首。

    AWS Backup 會將您目前的 帳戶、目前的區域報告交付至 s3://amzn-s3-demo-bucket/prefix/Backup/accountID/Region/year/month/day/report-name。

    AWS Backup 會將您的跨帳戶報告交付至 s3://amzn-s3-demo-bucket/prefix/Backup/crossaccount/Region/year/month/day/report-name

    AWS Backup 會將您的跨區域報告交付至 s3://amzn-s3-demo-bucket/prefix/Backup/accountID/crossregion/year/month/day/report-name

  14. 選擇 建立報告計畫。

接下來，您必須允許 S3 儲存貯體接收來自 的報告 AWS Backup。建立報告計畫後， AWS Backup Audit Manager 會自動產生 S3 儲存貯體存取政策供您套用。

如果您使用客戶受管 KMS 金鑰加密儲存貯體，KMS 金鑰政策必須符合下列要求：

  • Action 屬性必須至少包含 kms:GenerateDataKey。

政策 AWSServiceRolePolicyForBackupReports 具有這些許可。

檢視此存取政策並套用至您的 S3 儲存貯體

  1. 在 https：//https://console.aws.amazon.com/backup 開啟 AWS Backup 主控台。

  2. 在左側導覽窗格中，選擇 報告。

  3. 在 報告計畫名稱 下，選擇其名稱即可選取該報告計畫。

  4. 選擇編輯。

  5. 選擇 檢視 S3 儲存貯體的存取政策。您也可以在此程序結束時使用此政策。

  6. 選擇 複製許可。

  7. 選擇 編輯儲存貯體政策。請注意，在第一次建立備份報告之前，S3 儲存貯體政策中參考的服務連結角色尚不存在，導致錯誤「無效的委託人」。

  8. 將許可複製到 政策。

範例儲存貯體政策

JSON
{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":"arn:aws:iam::123456789012:role/aws-service-role/reports.backup.amazonaws.com/AWSServiceRoleForBackupReports"
      },
      "Action":"s3:PutObject",
      "Resource":[
        "arn:aws:s3:::BucketName/*"
      ],
      "Condition":{
        "StringEquals":{
          "s3:x-amz-acl":"bucket-owner-full-control"
        }
      }
    }
  ]
}

如果您使用自訂 AWS Key Management Service 來加密存放報告的目標 S3 儲存貯體，請在政策中包含下列動作：


      "Action":[
        "kms:GenerateDataKey"
      ],  
      "Resource":[
        "*"
      ],

使用以跨帳戶 KMS 金鑰加密的 S3 儲存貯體

如果您的 S3 儲存貯體 （在帳戶 A 中） 使用來自不同帳戶 （帳戶 B) 的客戶受管 KMS 金鑰加密，請完成下列額外步驟，以允許 AWS Backup 將報告交付至儲存貯體。

設定 備份報告的跨帳戶 KMS 金鑰

  1. 新增 S3 儲存貯體政策，如上節所述。

  2. 更新帳戶 B 中的 KMS 金鑰政策，將許可授予帳戶 A 中的AWSServiceRoleForBackupReports服務連結角色，以及建立報告計畫的 IAM 實體：

    {
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "Allow Backup Reports service-linked role to use the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountA-ID:role/aws-service-role/reports.backup.amazonaws.com/AWSServiceRoleForBackupReports"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow IAM entity to create grants on the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountA-ID:role/IAM-role-name"
            },
            "Action": "kms:CreateGrant",
            "Resource": "*"
        }
    ]
}

    將 AccountA-ID 取代為 S3 儲存貯體和 AWS Backup 報告計劃所在的 AWS 帳戶 ID。將 IAM-role-name 取代為您用來建立報告計畫的 IAM 角色。

  3. 從帳戶 A 中，使用具有金鑰kms:CreateGrant許可的 IAM 實體執行下列 AWS CLI 命令，為服務連結角色建立 KMS 授權：

    aws kms create-grant \
    --key-id arn:aws:kms:region:AccountB-ID:key/key-id \
    --grantee-principal arn:aws:iam::AccountA-ID:role/aws-service-role/reports.backup.amazonaws.com/AWSServiceRoleForBackupReports \
    --operations GenerateDataKey

    將 region、AccountB-ID、key-id 和 AccountA-ID 取代為您的值。

  4. 建立您的隨需或排程報告計畫。報告將傳送到使用跨帳戶 KMS 金鑰加密的 S3 儲存貯體。