Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Enkripsi untuk backup di AWS Backup

Enkripsi independen

AWS Backup menawarkan enkripsi independen untuk jenis sumber daya yang mendukung AWS Backup manajemen penuh. Enkripsi independen berarti bahwa titik pemulihan (cadangan) yang Anda buat AWS Backup dapat memiliki metode enkripsi selain yang ditentukan oleh enkripsi sumber daya sumber. Misalnya, cadangan bucket Amazon S3 Anda dapat memiliki metode enkripsi yang berbeda dari bucket sumber yang Anda enkripsi dengan enkripsi Amazon S3. Enkripsi ini dikontrol melalui konfigurasi AWS KMS kunci di brankas cadangan tempat cadangan Anda disimpan.

Pencadangan jenis sumber daya yang tidak sepenuhnya dikelola dengan AWS Backup biasanya mewarisi pengaturan enkripsi dari sumber sumber daya mereka. Anda dapat mengonfigurasi pengaturan enkripsi ini sesuai dengan instruksi layanan tersebut, seperti enkripsi Amazon EBS di Panduan Pengguna Amazon EBS.

Peran IAM Anda harus memiliki akses ke kunci KMS yang digunakan untuk mencadangkan dan memulihkan objek. Jika tidak, pekerjaan berhasil tetapi objek tidak didukung atau dipulihkan. Izin dalam kebijakan IAM dan kebijakan kunci KMS harus konsisten. Untuk informasi selengkapnya, lihat Menentukan kunci KMS dalam pernyataan kebijakan IAM di Panduan Pengembang.AWS Key Management Service

Tabel berikut mencantumkan setiap jenis sumber daya yang didukung, cara enkripsi dikonfigurasi untuk backup, dan apakah enkripsi independen untuk backup didukung. Ketika AWS Backup secara independen mengenkripsi cadangan, ia menggunakan algoritma enkripsi AES-256 standar industri. Untuk informasi selengkapnya tentang enkripsi di AWS Backup, lihat Pencadangan lintas wilayah dan lintas akun.

Enkripsi untuk salinan cadangan ke akun lain atau Wilayah AWS

Saat Anda menyalin cadangan di seluruh akun atau Wilayah, AWS Backup secara otomatis mengenkripsi salinan tersebut untuk sebagian besar jenis sumber daya, meskipun cadangan asli tidak dienkripsi. AWS Backup mengenkripsi salinan menggunakan kunci KMS dari brankas target.

Sebelum Anda menyalin cadangan dari satu akun ke akun lain (pekerjaan salinan lintas akun) atau menyalin cadangan dari satu Wilayah ke wilayah lain (pekerjaan salinan lintas wilayah), perhatikan kondisi berikut, banyak di antaranya bergantung pada apakah jenis sumber daya dalam cadangan (titik pemulihan) sepenuhnya dikelola oleh AWS Backup atau tidak sepenuhnya dikelola.

AWS Backup izin, hibah, dan pernyataan penolakan

Untuk membantu menghindari pekerjaan yang gagal, Anda dapat memeriksa kebijakan AWS KMS utama untuk memastikannya memiliki izin yang diperlukan dan tidak memiliki pernyataan penolakan yang mencegah operasi berhasil.

Pekerjaan yang gagal dapat terjadi karena salah satu atau lebih pernyataan Deny diterapkan pada kunci KMS atau karena hibah dicabut untuk kunci tersebut.

Dalam kebijakan akses AWS terkelola seperti AWSBackupFullAccess, ada Izinkan tindakan yang memungkinkan AWS Backup untuk berinteraksi dengan AWS KMS untuk membuat hibah pada kunci KMS atas nama pelanggan sebagai bagian cadangan, salinan, dan operasi penyimpanan.

Minimal, kebijakan kunci memerlukan izin berikut:

Jika kebijakan Tolak diperlukan, Anda harus mengizinkan daftar peran yang diperlukan untuk operasi pencadangan dan pemulihan.

Elemen-elemen ini dapat terlihat seperti:

{
    "Version": "2012-10-17",
    "Statement": [
      {
          "Sid": "KmsPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:ListKeys",
              "kms:DescribeKey",
              "kms:GenerateDataKey",
              "kms:ListAliases"
          ],
          "Resource": "*"
      },
      {
          "Sid": "KmsCreateGrantPermissions",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/root"
          },
          "Action": [
              "kms:CreateGrant"
          ],
          "Resource": "*",
          "Condition": {
              "ForAnyValue:StringEquals": {
                  "kms:EncryptionContextKeys": "aws:backup:backup-vault"
              },
              "Bool": {
                  "kms:GrantIsForAWSResource": true
              },
              "StringLike": {
                  "kms:ViaService": "backup.*.amazonaws.com"
              }
          }
      }
    ]
}

Izin ini harus menjadi bagian dari kunci, apakah itu AWS dikelola atau dikelola pelanggan.

Selain itu, kunci yang terkait dengan peran yang memulai pekerjaan penyalinan Lintas wilayah harus memiliki "kms:ResourcesAliases": "alias/aws/backup" izin. DescribeKey