Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS Backup Verrou de coffre-fort

AWS Backup Vault Lock est une fonctionnalité optionnelle d'un coffre-fort de sauvegarde, qui peut être utile pour renforcer la sécurité et le contrôle de vos coffres-forts de sauvegarde. Lorsqu'un verrou est actif en mode Conformité et que le délai de grâce est expiré, la configuration du coffre-fort ne peut pas être modifiée ou supprimée par un client, le propriétaire du compte/des données, ou AWS tant qu'elle contient des points de récupération. Chaque coffre-fort peut avoir un verrouillage de coffre-fort en place.

AWS Backup garantit que vos sauvegardes sont disponibles pour vous jusqu'à l'expiration de leur période de conservation. Si un utilisateur (y compris l'utilisateur root) tente de supprimer une sauvegarde ou de modifier les propriétés du cycle de vie dans un coffre verrouillé, AWS Backup il refusera l'opération.

Modes de verrouillage du coffre-fort

Lorsque vous créez un verrouillage de coffre-fort, vous avez le choix entre deux modes : le mode Gouvernance ou le mode Conformité. Le mode de gouvernance est destiné à permettre à un coffre-fort d'être géré uniquement par des utilisateurs disposant de IAM privilèges suffisants. Le mode Gouvernance aide une organisation à répondre aux exigences de gouvernance, en garantissant que seul le personnel désigné peut apporter des modifications à un coffre-fort de sauvegarde. Le mode Conformité est destiné aux coffres-forts de sauvegarde dans lesquels le coffre-fort (et par extension, son contenu) ne devrait jamais être supprimé ou modifié avant la fin de la période de conservation des données. Une fois qu'un coffre-fort en mode conformité est verrouillé, il est immuable, ce qui signifie que le verrou ne peut pas être retiré (le coffre-fort lui-même peut être supprimé s'il est vide et ne contient aucun point de récupération).

Un coffre-fort verrouillé en mode Gouvernance peut être géré ou supprimé par les utilisateurs disposant des IAM autorisations appropriées.

Un verrouillage de coffre-fort en mode Conformité ne peut être modifié ou supprimé par un utilisateur ou par AWS. Un verrou de coffre-fort en mode conformité dispose d'un délai de grâce que vous définissez avant qu'il ne soit verrouillé et que le contenu et le verrouillage du coffre-fort ne deviennent immuables.

Avantages de Vault Lock

AWS Backup Vault Lock offre plusieurs avantages, notamment :

Verrouillage d'un coffre-fort de sauvegarde à l'aide de la console

Vous pouvez ajouter un verrou de coffre-fort à votre AWS Backup coffre-fort à l'aide de la console Backup.

Si les étapes ont été effectuées, une bannière « Succès » apparaîtra en haut de la console.

Verrouillage d'un coffre-fort de sauvegarde par programmation

Pour configurer AWS Backup Vault Lock, utilisez le APIPutBackupVaultLockConfiguration. Les paramètres à inclure dépendent du mode de verrouillage du coffre-fort que vous souhaitez utiliser. Si vous souhaitez créer un verrouillage de coffre-fort en mode gouvernance, n'incluez pas ChangeableForDays. Si ce paramètre est inclus, le verrouillage du coffre-fort sera créé en mode conformité.

Voici un CLI exemple de création d'un verrou de coffre-fort en mode conformité :

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

Voici un CLI exemple de création d'un verrou de coffre-fort en mode gouvernance :

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

Vous pouvez configurer quatre options.

Vérifiez la configuration Vault Lock d'un AWS Backup coffre-fort de sauvegarde

Vous pouvez consulter les détails de AWS Backup Vault Lock sur un coffre-fort à tout moment en appelant DescribeBackupVault ou ListBackupVaultsAPIs.

Pour déterminer si vous avez appliqué un verrouillage de coffre-fort à un coffre-fort de sauvegarde, appelez DescribeBackupVault et vérifiez la propriété Locked. Si"Locked": true, comme dans l'exemple suivant, vous avez appliqué AWS Backup Vault Lock à votre coffre-fort de sauvegarde.

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

La sortie précédente confirme les options suivantes :

Si "Locked":false, comme dans l'exemple suivant, vous n'avez pas appliqué de verrouillage de coffre-fort (ou un verrouillage précédent a été supprimé).

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

Suppression du verrouillage de coffre-fort pendant le délai de grâce (mode Conformité)

Pour supprimer le verrouillage de votre coffre-fort pendant le délai de grâce (le temps qui suit le verrouillage du coffre-fort mais avant votreLockDate) à l'aide de la AWS Backup console,

Si toutes les étapes ont été effectuées, une bannière « Succès » apparaîtra en haut de l'écran de la console.

Pour supprimer le verrou de votre coffre-fort pendant le délai de grâce à l'aide d'une CLI commande, DeleteBackupVaultLockConfiguration utilisez l'CLIexemple suivant :

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

Compte AWS fermeture avec coffre verrouillé

Lorsque vous fermez un site Compte AWS contenant un coffre-fort de sauvegarde AWS et que vous AWS Backup suspendez votre compte pendant 90 jours avec vos sauvegardes intactes. Si vous ne rouvrez pas votre compte pendant ces 90 jours, le contenu de votre coffre-fort de sauvegarde est AWS supprimé, même si AWS Backup Vault Lock était en place.

Considérations supplémentaires en matière de sécurité

AWS Backup Vault Lock ajoute une couche de sécurité supplémentaire à votre défense approfondie de la protection des données. Le verrouillage du coffre-fort peut être combiné avec les autres fonctionnalités de sécurité suivantes :