AWS Backup 保管库锁定

AWS Backup 保管库锁定是备份保管库的一项可选功能，它有助于增强备份保管库的安全性和对其的控制力。当锁定功能在合规模式下处于活动状态并且宽限期结束时，只要保管库包含恢复点，客户、账户/数据所有者或 AWS 就无法更改或删除保管库配置。每个保管库可以有一个保管库锁。

AWS Backup 确保您的备份在保留期到期之前一直可供您使用。如果任何用户（包括根用户）尝试删除已锁定保管库中的备份或更改其生命周期属性，AWS Backup 会拒绝该操作。

保管库锁定模式

创建保管库锁定时，您可以选择两种模式：治理模式或合规模式。治理模式旨在允许只有拥有充足 IAM 权限的用户才能管理保管库。治理模式可帮助组织满足治理要求，确保只有指定的人员才能对备份保管库进行更改。合规模式适用于在数据保留期结束之前永远不会删除或更改保管库（以及其内容）的备份保管库。一旦合规模式下的保管库被锁定，它就不可变，意味着无法移除锁定（如果保管库为空，而不包含任何恢复点，则可以删除保管库本身）。

拥有相应 IAM 权限的用户可以管理或删除在治理模式下锁定的保管库。

任何用户或 AWS 都无法更改或删除处于合规模式下的保管库锁定。在保管库锁定并且内容和保管库锁定变为不可变之前，合规模式下的保管库锁定功能具有您设置的宽限期。

保管库锁定的好处

AWS Backup 保管库锁定有多项好处，包括：

使用控制台锁定备份保管库

您可以使用 Backup 控制台向 AWS Backup 保管库添加保管库锁定。

如果步骤已成功完成，则控制台顶部将显示“成功”横幅。

以编程方式锁定备份保管库

要配置 AWS Backup 保管库锁定，请使用 API PutBackupVaultLockConfiguration。要包含的参数将取决于您打算采用哪种保管库锁定模式。如果您想在治理模式下创建保管库锁定，请不要包含 ChangeableForDays。如果包含此参数，则将在合规模式下创建保管库锁定。

以下是创建合规模式保管库锁定的 CLI 示例：

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

以下是创建治理模式保管库锁定的 CLI 示例：

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

您可以配置四个选项。

查看 AWS Backup 备份保管库的保管库锁定配置

您可以通过调用 DescribeBackupVault 或 ListBackupVaults API，随时查看保管库的 AWS Backup 保管库锁定详细信息。

要确定您是否对备份保管库应用了保管库锁定，请调用 DescribeBackupVault 并查看 Locked 属性。如果 "Locked": true 像以下示例一样，说明您已将 AWS Backup 保管库锁定应用于备份保管库。

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

上述输出确认了以下选项：

如果 "Locked":false 像以下示例一样，说明您尚未应用保管库锁定（或之前的保管库锁定已被删除）。

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

在宽限期内移除保管库锁定（合规模式）

要在宽限期（锁定保管库之后但在 LockDate 之前的时间）使用 AWS Backup 控制台删除保管库锁定，请执行以下操作：

成功完成所有步骤后，控制台屏幕顶部将显示“成功”横幅。

要在宽限期内使用 CLI 命令删除保管库锁定，请使用 DeleteBackupVaultLockConfiguration，如这个 CLI 示例所示：

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

具有锁定保管库的 AWS 账户关闭

当您关闭包含备份保管库的 AWS 账户时，AWS 和 AWS Backup 将在确保备份完好无损的情况下暂停您的账户 90 天。如果您在这 90 天内没有重新打开账户，即使 AWS Backup 保管库锁定已启用，AWS 也会删除备份保管库中的内容。

其它安全注意事项

AWS Backup 保管库锁定额外增加了一层安全保护，加深了您的数据保护防御深度。保管库锁定可以与其他安全功能结合使用：