Berichtspläne mithilfe der AWS Backup Konsole erstellen

Es gibt zwei Arten von Berichten. Ein Typ ist ein Auftragsbericht, in dem die in den letzten 24 Stunden abgeschlossenen Aufträge und alle aktiven Aufträge angezeigt werden. Die zweite Art von Bericht ist ein Compliance-Bericht. Mit Compliance-Berichten können die Ressourcenebenen oder die verschiedenen gültigen Kontrollen überwacht werden. Wenn Sie einen Bericht erstellen, können Sie auswählen, welcher Berichtstyp erstellt werden soll.

Je nach Kontotyp kann die Anzeige der Konsole variieren. Die Funktion für mehrere Konten ist nur für Verwaltungskonten verfügbar.

Ähnlich wie bei einem Backup-Plan erstellen Sie einen Berichtsplan, um die Erstellung Ihrer Berichte zu automatisieren und deren Amazon-S3-Ziel-Bucket zu definieren. Ein Berichtsplan setzt voraus, dass Sie über einen S3-Bucket verfügen, um Berichte zu empfangen. Anweisungen zur Einrichtung eines neuen S3-Buckets finden Sie unter Schritt 1: Erstellen des ersten S3-Buckets im Benutzerhandbuch für Amazon Simple Storage Service.

Um Ihren Berichtsplan in der AWS Backup Konsole zu erstellen

1. Öffnen Sie die AWS Backup Konsole unter https://console.aws.amazon.com/backup.

2. Wählen Sie im linken Navigationsbereich Berichte aus.

3. Wählen Sie Berichtsplan erstellen aus.

4. Wählen Sie eine der Berichtsvorlagen aus der Liste aus.

5. Geben Sie unter Name des Berichtsplans einen eindeutigen Namen ein. Der Name muss eine Länge von maximal 256 Zeichen haben, die mit einem Buchstaben beginnen und aus Buchstaben (a–z, A–Z), Zahlen (0–9) und Unterstriche (_) bestehen.

6. (Optional) Geben Sie eine Beschreibung des Berichtsplans ein.

7. Vorlagen für Compliance-Berichte für nur ein Konto. Wählen Sie ein oder mehrere Frameworks aus, über die berichtet werden soll. Sie können einem Berichtsplan maximal 1 000 Frameworks hinzufügen.

   1. Wählen Sie Ihre AWS Region aus.

   2. Wählen Sie ein Framework aus dieser Region.

   3. Wählen Sie Framework hinzufügen aus.

8. (Optional) Um Ihrem Berichtsplan Tags hinzuzufügen, wählen Sie Tags zum Berichtsplan hinzufügen aus.

9. Wenn Sie ein Verwaltungskonto verwenden, können Sie angeben, welche Konten Sie in diesen Berichtsplan aufnehmen möchten. Sie können Nur mein Konto auswählen, wodurch Berichte nur für das Konto generiert werden, bei dem Sie derzeit angemeldet sind. Sie können auch ein oder mehrere Konten in meiner Organisation auswählen (verfügbar für Verwaltungs- und delegierte Administratorkonten).

10. (Überspringen Sie diesen Schritt, wenn Sie einen Compliance-Bericht nur für eine Region erstellen). Sie können auswählen, welche Regionen in den Bericht aufgenommen werden sollen. Klicken Sie auf das Dropdown-Menü, um die für Sie verfügbaren Regionen anzuzeigen. Wählen Sie Alle verfügbaren Regionen oder die Regionen aus, die Sie bevorzugen.

    1. Wenn Sie das Kontrollkästchen Neue Regionen einschließen, wenn sie in Backup Audit Manager integriert sind aktivieren, werden neue Regionen in Ihre Berichte aufgenommen, sobald sie verfügbar sind.

11. Wählen Sie das Dateiformat Ihres Berichts aus. Alle Berichte können im CSV Format exportiert werden. Darüber hinaus können Berichte für eine einzelne Region und eine einzelne Region im JSON Format exportiert werden.

12. Wählen Sie in der Dropdown-Liste Ihren S3-Bucket-Namen aus.

13. (Optional) Geben Sie ein Bucket-Präfix ein.

    AWS Backup übermittelt Ihr Girokonto und Ihre aktuellen Regionsberichte ans3://your-bucket-name/prefix/Backup/accountID/Region/year/month/day/report-name.

    AWS Backup übermittelt Ihre kontenübergreifenden Berichte an s3://your-bucket-name/prefix/Backup/crossaccount/Region/year/month/day/report-name

    AWS Backup übermittelt Ihre regionsübergreifenden Berichte an s3://your-bucket-name/prefix/Backup/accountID/crossregion/year/month/day/report-name

14. Wählen Sie Berichtsplan erstellen aus.

Als Nächstes müssen Sie zulassen, dass Ihr S3-Bucket Berichte von AWS Backup empfängt. Nachdem Sie einen Berichtsplan erstellt haben, generiert AWS Backup Audit Manager automatisch eine S3-Bucket-Zugriffsrichtlinie, die Sie anwenden können.

Wenn Sie Ihren Bucket mit einem vom Kunden verwalteten KMS Schlüssel verschlüsseln, muss die KMS Schlüsselrichtlinie die folgenden Anforderungen erfüllen:

• Das Principal Attribut muss die serviceverknüpfte Backup Audit Manager Manager-Rolle AWSServiceRolePolicyForBackupReportsARNenthalten.

• Das Action Attribut muss kms:Decrypt mindestens Folgendes enthaltenkms:GenerateDataKey:

Die Richtlinie AWSServiceRolePolicyForBackupReportsverfügt über diese Berechtigungen.

So zeigen Sie diese Zugriffsrichtlinie an und wenden sie auf Ihren S3-Bucket an

1. Öffnen Sie die AWS Backup Konsole unter https://console.aws.amazon.com/backup.

2. Wählen Sie im linken Navigationsbereich Berichte aus.

3. Wählen Sie unter Name des Berichtsplans einen Berichtsplan aus, indem Sie dessen Namen auswählen.

4. Wählen Sie Edit (Bearbeiten) aus.

5. Wählen Sie Zugriffsrichtlinie für S3-Bucket anzeigen aus. Sie können die Richtlinie auch am Ende dieses Verfahrens verwenden.

6. Wählen Sie Berechtigungen kopieren aus.

7. Wählen Sie Bucket-Richtlinie bearbeiten aus. Beachten Sie, dass die serviceverknüpfte Rolle, auf die in der S3-Bucket-Richtlinie verwiesen wird, noch nicht existiert, bis der Backup-Bericht zum ersten Mal erstellt wird, was zu dem Fehler „Ungültiger Prinzipal“ führt.

8. Kopieren Sie die Berechtigungen in die Richtlinie.

Bucket-Beispielrichtlinie

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":"arn:aws:iam::123456789012:role/aws-service-role/reports.backup.amazonaws.com/AWSServiceRoleForBackupReports"
      },
      "Action":"s3:PutObject",
      "Resource":[
        "arn:aws:s3:::BucketName/*"
      ],
      "Condition":{
        "StringEquals":{
          "s3:x-amz-acl":"bucket-owner-full-control"
        }
      }
    }
  ]
}

Wenn Sie Ihren Ziel-S3-Bucket AWS Key Management Service , in dem die Berichte gespeichert werden, mit einem benutzerdefinierten Code verschlüsseln, nehmen Sie die folgenden Aktionen in Ihre Richtlinie auf:

      "Action":[
        "kms:GenerateDataKey",
        "kms:Encrypt"
      ],  
      "Resource":[
        "*"
      ],