Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Tâches de l'administrateur
Plusieurs tâches impliquant AWS Backup une vue d'ensemble multipartite nécessitaient un utilisateur disposant d'autorisations d'administrateur et d'un accès au compte de gestion.
Création d'une équipe d'approbation
Un utilisateur de votre organisation disposant d'autorisations d'administrateur pour un AWS compte doit configurer l'approbation multipartite (étape 3 de l'aperçu).
Avant de procéder à cette étape, il est recommandé, à titre de bonne pratique, de configurer à la fois une organisation principale et une organisation secondaire (à des fins de restauration) AWS Organizations (étape 1 de la section Vue d'ensemble).
Consultez la section Créer une équipe d'approbation dans le guide de l'utilisateur de l'approbation multipartite pour créer votre équipe.
Pendant l'aws mpa create-approval-teamopération, l'un des paramètres estpolicies. Voici une liste de ARNs (Amazon Resource Names) pour les politiques de ressources d'approbation multipartites qui définissent les autorisations qui protègent l'équipe.
La politique présentée dans l'exemple du Guide de l'utilisateur de l'approbation multipartite dans la procédure Créer une équipe d'approbation contient la politique ["arn:aws:mpa::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault"] avec plusieurs autorisations nécessaires.
Procédez comme suit pour renvoyer une liste des politiques disponibles en utilisant mpa
list-policies :
-
Politiques de liste :
aws mpa list-policies --region us-east-1 -
Répertoriez toutes les versions des politiques :
aws mpa list-policy-versions --policy-arn arn:aws:mpa:::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault --region us-east-1 -
Obtenez des informations sur une politique :
aws mpa get-policy-version --policy-version-arn arn:aws:mpa:::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault/1 --region us-east-1
Développez ci-dessous pour voir la politique qui sera créée puis attachée à votre équipe d'approbation par cette opération :
Partagez une équipe d'approbation multipartite à l'aide de AWS RAM
Vous pouvez partager une équipe d'approbation multipartite avec d'autres AWS comptes en utilisant AWS Resource Access Manager (RAM), étape 4 de l'aperçu.
AWS propose des outils pour partager l'accès aux comptes, y compris l'accès par le biais AWS Resource Access Manageret l'accès multipartite. Lorsque vous choisissez de partager un coffre-fort isolé de manière logique avec un autre compte, tenez compte des informations suivantes :
| Fonctionnalité | AWS RAM partage basé | Accès basé sur l'approbation de plusieurs parties |
|---|---|---|
| Accès à des coffres-forts à espacement logique | Une fois le partage de RAM terminé, les coffres-forts sont accessibles. | Toute tentative effectuée par un autre compte doit être approuvée par un certain nombre de membres de l'équipe d'approbation multipartite. La session d'approbation expire automatiquement 24 heures après le lancement de la demande. |
| Suppression de l'accès | Le compte propriétaire du coffre-fort logiquement espacé peut mettre fin au partage basé sur la RAM à tout moment. | L'accès à un coffre-fort ne peut être supprimé que sur demande adressée à l'équipe d'approbation multipartite. |
| Copier entre les comptes et and/or les régions | Cette option n'est pas prise en charge actuellement. | Les sauvegardes peuvent être copiées dans le même compte ou avec d'autres comptes de la même organisation que le compte de restauration. |
| Facturation des transferts entre régions | Les transferts entre régions sont facturés sur le même compte qui possède le coffre de sauvegarde de l'accès à la restauration. | |
| Utilisation recommandée | Il est principalement utilisé pour la récupération des données perdues et pour les tests de restauration. | Il est principalement utilisé dans les situations où l'accès ou la sécurité du compte sont soupçonnés d'être compromis. |
| Régions | Disponible partout Régions AWS où des coffres-forts à espacement d'air logique sont pris en charge. | Disponible partout Régions AWS où des coffres-forts à espacement d'air logique sont pris en charge. |
| Restaure | Tous les types de ressources pris en charge peuvent être restaurés à partir d'un compte partagé. | Tous les types de ressources pris en charge peuvent être restaurés à partir d'un compte partagé. |
| Configuration | Le partage peut avoir lieu dès que le AWS Backup compte configure le partage de RAM et que le compte destinataire accepte le partage. | Le partage nécessite que le compte de gestion crée d'abord une équipe, puis configure le partage de RAM. Ensuite, le compte de gestion opte pour l'approbation multipartite et assigne cette équipe à un coffre-fort isolé de manière logique. |
| Partage |
Le partage s'effectue via la RAM au sein d' AWS une même organisation ou entre AWS organisations. L'accès est accordé selon le modèle « push », dans lequel le compte propriétaire du coffre-fort logiquement espacé accorde d'abord l'accès. Ensuite, l'autre compte accepte l'accès. |
L'accès à un coffre-fort isolé de manière logique se fait par le biais des équipes d'approbation soutenues par les organisations au sein de la même AWS organisation ou de plusieurs organisations. L'accès est accordé selon le modèle « pull », selon lequel le compte destinataire demande d'abord l'accès, puis l'équipe d'approbation accepte ou refuse la demande. |
