Prácticas recomendadas para el uso de políticas de copia de seguridad

AWS recomienda las siguientes prácticas para el uso de políticas de copia de seguridad:

Decidir una estrategia de política de copia de seguridad

Puede crear políticas de copia de seguridad en partes incompletas que se heredan y fusionan para crear una política completa para cada cuenta de miembro. Si lo hace, corre el riesgo de terminar con una política en vigor incompleta si realiza un cambio en un nivel sin considerar detenidamente el impacto del cambio en todas las cuentas que estén por debajo de ese nivel. Para que esto no ocurra, le recomendamos que se asegure de que las políticas de copia de seguridad que implemente en todos los niveles estén completas por sí mismas. Trate las políticas principales como valores de políticas predeterminados que se pueden reemplazar por la configuración especificada en las políticas secundarias. De esta forma, incluso aunque no exista una política secundaria, la política heredada estará completa y utilizará los valores predeterminados. Puede controlar qué configuración se puede añadir, cambiar o eliminar en las políticas secundarias mediante los operadores de herencia de control secundarios.

Valide los cambios realizados en sus políticas de copia de seguridad mediante GetEffectivePolicy

Cuando realice un cambio en una política de copia de seguridad, compruebe las políticas en vigor de cuentas representativas que estén por debajo del nivel en el que haya realizado el cambio. Puede ver la política en vigor mediante la AWS Management Console o mediante la operación de la API GetEffectivePolicy o una de sus variantes de AWS SDK o AWS CLI. Asegúrese de que el cambio que ha realizado haya tenido el impacto previsto en la política en vigor.

Comience de forma sencilla y haga pequeños cambios

Para simplificar la depuración, comience con políticas sencillas y realice cambios de un elemento cada vez. Valide el comportamiento y el impacto de cada cambio antes de realizar el siguiente cambio. Este abordaje reduce el número de variables que tiene que tener en cuenta cuando se produce un error o un resultado inesperado.

Almacene copias de sus copias de seguridad en otros Regiones de AWS y cuentas de la organización

Para mejorar su posición de recuperación de desastres, puede almacenar copias de sus copias de seguridad.

• Una región diferente— Si almacena copias de la copia de seguridad en Regiones de AWS, ayuda a proteger la copia de seguridad contra daños accidentales o eliminaciones en la región original. Use la sección copy_actions de la política para especificar un almacén en una o varias regiones de la misma cuenta en la que se ejecuta el plan de copia de seguridad. Para ello, identifique la cuenta mediante la variable $account cuando especifique el ARN del almacén de copia de seguridad en el que se almacenará la copia de la copia de seguridad. La variable $account se reemplaza automáticamente en tiempo de ejecución con el ID de cuenta en el que se está ejecutando la política de copia de seguridad.

• Una cuenta diferente — Si almacena copias de la copia de seguridad en Cuentas de AWS, añade una barrera de seguridad que ayuda a proteger contra un actor malintencionado que pone en peligro una de sus cuentas. Use la sección copy_actions de la política para especificar un almacén en una o varias cuentas de la organización, independientemente de la cuenta en la que se ejecuta el plan de copia de seguridad. Para ello, identifique la cuenta usando el número de ID real de la cuenta cuando especifique el ARN del almacén de copia de seguridad en el que se almacenará la copia de la copia de seguridad.

Limite el número de planes por política

En las políticas que contienen varios planes es más complicado solucionar problemas ya que hay que validar un mayor número de salidas. Por ello, le recomendamos que haga que cada política contenga un solo plan de copia de seguridad para simplificar la depuración y la resolución de problemas. A continuación, puede añadir más políticas con otros planes para cumplir con otros requisitos. Este abordaje ayuda a mantener los problemas con un plan aislados en una política y evita que esos problemas compliquen la resolución de problemas con otras políticas y sus planes.

Utilice stack sets para crear los almacenes de copias de seguridad y los roles de IAM necesarios

Utilice la integración de los stack sets de AWS CloudFormation con Organizations para crear automáticamente los almacenes de copias de seguridad y los roles de AWS Identity and Access Management (IAM) necesarios en cada una de las cuentas miembro de su organización. Puede crear un conjunto de pilas que incluya los recursos que desea que estén disponibles automáticamente en todas las Cuenta de AWS de su organización. Este abordaje le permite ejecutar sus planes de copia de seguridad con la seguridad de que las dependencias ya se cumplen. Para obtener más información, consulte Crear un Stack Set con permisos autoadministrados en la Guía del usuario AWS CloudFormation.

Compruebe sus resultados revisando la primera copia de seguridad creada en cada cuenta

Cuando realice un cambio en una política, compruebe la siguiente copia de seguridad creada después de ese cambio para asegurarse de que el cambio tuvo el impacto deseado. Este paso va más allá de examinar la política en vigor y garantiza que AWS Backup interprete sus políticas e implemente los planes de copias de seguridad de la manera que pretendía.