Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Aufgaben des Administrators
Für mehrere Aufgaben, die AWS Backup einen Multi-party Überblick erforderten, war ein Benutzer mit Administratorrechten und Zugriff auf das Verwaltungskonto erforderlich.
## Erstellen Sie ein Genehmigungsteam
Ein Benutzer in Ihrer Organisation mit Administratorberechtigungen für ein AWS Konto muss die Multi-party Genehmigung [ einrichten ](https://docs.aws.amazon.com/mpa/latest/userguide/setting-up.html) (Schritt 3 in der [ Übersicht](multipartyapproval.md#multipartyapproval-overview)).
Bevor Sie diesen Schritt ausführen, empfiehlt es sich, sowohl eine primäre Organisation als auch eine sekundäre Organisation (für Wiederherstellungszwecke) einzurichten AWS Organizations (Schritt 1 in der [ Übersicht)](multipartyapproval.md#multipartyapproval-overview).
Informationen zur [ Erstellung Ihres Teams finden Sie ](https://docs.aws.amazon.com/mpa/latest/userguide/create-team.html#create-team-steps) im * Multi-party Genehmigungsbenutzerleitfaden * unter Erstellen eines Genehmigungsteams.
Während der [`aws mpa create-approval-team`](https://docs.aws.amazon.com/mpa/latest/APIReference/API_CreateApprovalTeam.html) Operation ist einer der Parameter`policies`. Dies ist eine Liste von ARNs (Amazon Resource Names) für Multi-party Genehmigungsressourcenrichtlinien, die Berechtigungen zum Schutz des Teams definieren.
Die Richtlinie, die im Beispiel im * Multi-party Genehmigungsbenutzerhandbuch * im Verfahren [ Create an Approval Team gezeigt wird, ](https://docs.aws.amazon.com/mpa/latest/userguide/create-team.html#create-team-steps) enthält die Richtlinie `["arn:aws:mpa::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault"]` mit mehreren erforderlichen Berechtigungen.
Gehen Sie wie folgt vor, um eine Liste der verfügbaren Richtlinien zurückzugeben, indem Sie Folgendes verwenden`mpa list-policies`:
1. Richtlinien auflisten:
```
aws mpa list-policies --region us-east-1
```
1. Alle Richtlinienversionen auflisten:
```
aws mpa list-policy-versions --policy-arn arn:aws:mpa:::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault --region us-east-1
```
1. Einzelheiten zu einer Richtlinie abrufen:
```
aws mpa get-policy-version --policy-version-arn arn:aws:mpa:::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault/1 --region us-east-1
```
Im Folgenden finden Sie die Richtlinie, die durch diesen Vorgang erstellt und dann an Ihr Genehmigungsteam angehängt wird:
### Stellen Sie die Zugriffstresorrichtlinie wieder her
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VaultOwnerPermissions",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Resource": "*",
"Action": [
"mpa:StartSession",
"mpa:CancelSession"
],
"Condition": {
"StringEquals": {
"mpa:RequestedOperation": "backup:RevokeRestoreAccessBackupVault",
"mpa:ProtectedResourceAccount": "${aws:PrincipalAccount}"
},
"Bool": {
"aws:ViaAWSService": "true"
}
}
}
]
}
```
------
## Teilen Sie ein Multi-party Genehmigungsteam mit AWS RAM
Mithilfe von [AWS Resource Access Manager (RAM) können Sie ein Multi-party Genehmigungsteam mit anderen AWS Konten teilen](https://docs.aws.amazon.com/ram/latest/userguide/working-with-sharing-create.html), Schritt 4 in der [ Übersicht](multipartyapproval.md#multipartyapproval-overview).
------
#### [ Console ]
**Teilen Sie ein Multi-party Genehmigungsteam mit AWS RAM**
1. Melden Sie sich bei der [AWS RAM -Konsole](https://console.aws.amazon.com/ram/home?region=us-east-1) an.
1. Wählen Sie im Navigationsbereich ** Resource Shares aus**.
1. Wählen Sie **Create resource share (Ressourcenfreigabe erstellen)** aus.
1. Geben Sie im ** Feld ** Name einen beschreibenden Namen für Ihren Ressourcenanteil ein.
1. Wählen Sie unter ** Ressourcentyp ** im Dropdownmenü die Option ** Multi-party Genehmigungsteam ** aus.
1. Wählen Sie unter ** Ressourcen das Genehmigungsteam aus**, das Sie teilen möchten.
1. Geben Sie unter ** Principals die AWS Konten an**, mit denen Sie das Genehmigungsteam teilen möchten.
1. Um die Daten mit bestimmten AWS Konten zu teilen, wählen Sie **AWS Konten aus ** und geben Sie die 12-stelligen Konto-IDs ein.
1. Um es mit einer Organisation oder Organisationseinheit zu teilen, wählen Sie ** Organisation ** oder ** Organisationseinheit aus ** und geben Sie die entsprechende ID ein.
1. (*Optional*) Fügen Sie unter ** Stichwörter alle Stichwörter hinzu**, die Sie dieser Ressourcenfreigabe zuordnen möchten.
1. Wählen Sie **Create resource share (Ressourcenfreigabe erstellen)** aus.
Der Status der Ressourcenfreigabe wird zunächst als angezeigt`PENDING`. Sobald die Empfängerkonten die Einladung annehmen, ändert sich der Status in`ACTIVE`.
------
#### [ CLI ]
Verwenden Sie die folgenden Befehle, um die Nutzung AWS RAM durch ein Multi-party Genehmigungsteam über die CLI gemeinsam zu nutzen:
Identifizieren Sie zunächst den ARN des Genehmigungsteams, das Sie teilen möchten:
```
aws mpa list-approval-teams --region {{us-east-1}}
```
Erstellen Sie eine Ressourcenfreigabe mit dem Befehl create-resource-share:
```
aws ram create-resource-share \
--name "MPA-Team-Share" \
--resource-arns "arn:aws:mpa:{{us-east-1}}:{{ACCOUNT_ID}}:approval-team/{{TEAM_ID}}" \
--principals "{{ACCOUNT_ID_TO_SHARE_WITH}}" \
--permission-arns "arn:aws:ram::aws:permission/AWSRAMMPAApprovalTeamAccess" \
--region {{us-east-1}}
```
Um sie mit einer Organisation statt mit bestimmten Konten zu teilen:
```
aws ram create-resource-share \
--name "MPA-Team-Share" \
--resource-arns "arn:aws:mpa:{{us-east-1}}:{{ACCOUNT_ID}}:approval-team/{{TEAM_ID}}" \
--permission-arns "arn:aws:ram::aws:permission/AWSRAMMPAApprovalTeamAccess" \
--allow-external-principals \
--region {{us-east-1}}
```
Überprüfe den Status deiner Ressourcenfreigabe:
```
aws ram get-resource-shares \
--resource-owner SELF \
--region {{us-east-1}}
```
Die Konten des Empfängers müssen die Einladung zur gemeinsamen Nutzung der Ressource annehmen:
```
aws ram get-resource-share-invitations --region {{us-east-1}}
```
Führen Sie das Empfängerkonto aus, um eine Einladung anzunehmen:
```
aws ram accept-resource-share-invitation \
--resource-share-invitation-arn "arn:aws:ram:{{REGION}}:{{ACCOUNT_ID}}:resource-share-invitation/{{INVITATION_ID}}" \
--region {{us-east-1}}
```
Sobald die Einladung angenommen wurde, kann das Multi-party Genehmigungsteam im Empfängerkonto verwendet werden.
------
AWS bietet Tools zur gemeinsamen Nutzung des Kontozugriffs, auch über [AWS Resource Access Manager](logicallyairgappedvault.md#lag-share) und [ Multi-party auf den Zugriff](https://docs.aws.amazon.com/mpa/latest/userguide/share-team.html). Wenn Sie sich dafür entscheiden, einen Tresor mit logischem Air-Gap mit einem anderen Konto zu teilen, sollten Sie die folgenden Details berücksichtigen:
| Feature | AWS RAM basiertes Teilen | Multi-party genehmigungsbasierter Zugriff |
| --- | --- | --- |
| Zugang zu Tresoren mit logischem Luftspalt | Sobald die RAM-Freigabe abgeschlossen ist, kann auf die Tresore zugegriffen werden. | Jeder Versuch mit einem anderen Konto muss von einer bestimmten Anzahl von Mitgliedern des Multi-party Genehmigungsteams genehmigt werden. Die Genehmigungssitzung läuft automatisch 24 Stunden nach Initiierung der Anfrage ab. |
| Entfernung des Zugriffs | Das Konto, dem der Logically Airgapped Tresor gehört, kann die RAM-basierte gemeinsame Nutzung jederzeit beenden. | Der Zugriff auf einen Tresor kann nur auf Anfrage an das Multi-party Genehmigungsteam aufgehoben werden. |
| Zwischen Konten und and/or Regionen kopieren | Wird derzeit nicht unterstützt. | Backups können innerhalb desselben Kontos oder mit anderen Konten in derselben Organisation wie das Wiederherstellungskonto kopiert werden. |
| Cross-Region Abrechnung überweisen | | Cross-Region Übertragungen werden demselben Konto in Rechnung gestellt, dem der Restore Access Backup Tresor gehört. |
| Empfohlene Verwendung | Hauptsächlich wird es für die Wiederherstellung nach Datenverlust und für Wiederherstellungstests verwendet. | Wird hauptsächlich in Situationen verwendet, in denen der Verdacht besteht, dass der Kontozugriff oder die Sicherheit gefährdet sind. |
| Regionen | Verfügbar in allen Fällen, in AWS-Regionen denen Logically Air-Gap-Depots unterstützt werden. | Verfügbar in allen Bereichen, in AWS-Regionen denen Logisch Airgapped Tresore unterstützt werden. |
| Stellt wieder her | Alle unterstützten Ressourcentypen können von einem gemeinsamen Konto aus wiederhergestellt werden. | Alle unterstützten Ressourcentypen können von einem gemeinsamen Konto aus wiederhergestellt werden. |
| Einrichtung | Das Teilen kann erfolgen, sobald das AWS Backup Konto die RAM-Sharing eingerichtet hat und das empfangende Konto die Freigabe akzeptiert. | Für die gemeinsame Nutzung muss das Verwaltungskonto zunächst ein Team erstellen und dann die gemeinsame Nutzung des Arbeitsspeichers einrichten. Dann meldet sich das Verwaltungskonto für die Multi-party Genehmigung an und weist das Team einem Tresor zu, der logisch nach außen geöffnet ist. |
| Teilen | Die gemeinsame Nutzung erfolgt über RAM innerhalb derselben AWS Organisation oder AWS organisationsübergreifend.
Der Zugriff erfolgt nach dem „Push“ -Modell, bei dem das Konto, dem der Logical-Air-Gap-Tresor gehört, zuerst Zugriff gewährt. Dann akzeptiert das andere Konto den Zugriff. | Der Zugriff auf einen Tresor mit logischem Air-Gap erfolgt über die vom Unternehmen unterstützten Genehmigungsteams innerhalb derselben AWS Organisation oder organisationsübergreifend.
Der Zugriff wird nach dem Pull-Modell gewährt, bei dem das Empfängerkonto zuerst den Zugriff anfordert, dann gewährt oder lehnt das Genehmigungsteam die Anfrage ab. |