Pengendalian akses - AWS Backup
Sumber daya dan operasiKepemilikan sumber dayaMenentukan elemen kebijakan: tindakan, efek, dan prinsipMenentukan kondisi dalam kebijakanReferensi Izin APIIzin menyalin tagKebijakan akses

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Pengendalian akses

Anda dapat memiliki kredensyal yang valid untuk mengautentikasi permintaan Anda, tetapi kecuali Anda memiliki izin yang sesuai, Anda tidak dapat mengakses AWS Backup sumber daya seperti brankas cadangan. Anda juga tidak dapat mencadangkan AWS sumber daya seperti volume Amazon Elastic Block Store (Amazon EBS).

Setiap AWS sumber daya dimiliki oleh Akun AWS, dan izin untuk membuat atau mengakses sumber daya diatur oleh kebijakan izin. Administrator akun dapat melampirkan kebijakan izin ke identitas AWS Identity and Access Management (IAM) (yaitu, pengguna, grup, dan peran). Dan beberapa layanan juga mendukung melampirkan kebijakan izin ke sumber daya.

Administrator akun (atau pengguna administrator) adalah pengguna dengan izin administrator. Untuk informasi selengkapnya, lihat Praktik Terbaik IAM dalam Panduan Pengguna IAM.

Ketika memberikan izin, Anda memutuskan siap yang mendapatkan izin, sumber daya yang mereka dapatkan izinnya, dan tindakan khusus yang ingin Anda izinkan di sumber daya tersebut.

Bagian berikut mencakup cara kerja kebijakan akses dan cara Anda menggunakannya untuk melindungi cadangan Anda.

Sumber daya dan operasi

Sumber daya adalah objek yang ada dalam layanan. AWS Backup sumber daya termasuk rencana cadangan, brankas cadangan, dan cadangan. Backup adalah istilah umum yang mengacu pada berbagai jenis sumber daya cadangan yang ada di dalamnya AWS. Misalnya, snapshot Amazon EBS, snapshot Amazon Relational Database Service (Amazon RDS), dan backup Amazon DynamoDB adalah semua jenis sumber daya cadangan.

Pada tahun AWS Backup, cadangan juga disebut sebagai titik pemulihan. Saat menggunakan AWS Backup, Anda juga bekerja dengan sumber daya dari AWS layanan lain yang Anda coba lindungi, seperti volume Amazon EBS atau tabel DynamoDB. Sumber daya ini memiliki Nama Sumber Daya Amazon (ARN) unik yang terkait dengannya. ARN secara unik mengidentifikasi sumber daya. AWS Anda harus memiliki ARN ketika Anda perlu menentukan sumber daya secara jelas di semua AWS, seperti dalam kebijakan IAM atau panggilan API.

Tabel berikut mencantumkan sumber daya, subresource, format ARN, dan contoh ID unik.

AWS Backup ARN sumber daya
Jenis sumber daya Format ARN Contoh ID unik
Paket Backup arn:aws:backup:region:account-id:backup-plan:*
Brankas cadangan arn:aws:backup:region:account-id:backup-vault:*
Titik pemulihan untuk Amazon EBS arn:aws:ec2:region::snapshot/* snapshot/snap-05f426fd8kdjb4224
Titik pemulihan untuk gambar Amazon EC2 arn:aws:ec2:region::image/ami-* image/ami-1a2b3e4f5e6f7g890
Titik pemulihan untuk Amazon RDS arn:aws:rds:region:account-id:snapshot:awsbackup:* awsbackup:job-be59cf2a-2343-4402-bd8b-226993d23453
Titik pemulihan untuk Aurora arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-be59cf2a-2343-4402-bd8b-226993d23453
Titik pemulihan untuk Storage Gateway arn:aws:ec2:region::snapshot/* snapshot/snap-0d40e49137e31d9e0
Titik pemulihan untuk DynamoDB tanpa Cadangan DynamoDB tingkat lanjut arn:aws:dynamodb:region:account-id:table/*/backup/* table/MyDynamoDBTable/backup/01547087347000-c8b6kdk3
Titik pemulihan untuk DynamoDB dengan diaktifkan Cadangan DynamoDB tingkat lanjut arn:aws:backup:region:account-id:recovery-point:* 12a34a56-7bb8-901c-cd23-4567d8e9ef01
Titik pemulihan untuk Amazon EFS arn:aws:backup:region:account-id:recovery-point:* d99699e7-e183-477e-bfcd-ccb1c6e5455e
Titik pemulihan untuk Amazon FSx arn:aws:fsx:region:account-id:backup/backup-* backup/backup-1a20e49137e31d9e0
Titik pemulihan untuk mesin virtual arn:aws:backup:region:account-id:recovery-point:* 1801234a-5b6b-7dc8-8032-836f7ffc623b
Titik pemulihan untuk pencadangan berkelanjutan Amazon S3 arn:aws:backup:region:account-id:recovery-point:* my-bucket-5ec207d0
Titik pemulihan untuk cadangan berkala S3 arn:aws:backup:region:account-id:recovery-point:* my-bucket-20211231900000-5ec207d0
Titik pemulihan untuk Amazon DocumentDB arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Titik pemulihan untuk Neptunus arn:aws:rds:region:account-id:cluster-snapshot:awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Titik pemulihan untuk Amazon Redshift arn:aws:redshift:region:account-id:snapshot:resource/awsbackup:* awsbackup:job-ab12cd3e-4567-8901-fg1h-234567i89012
Titik pemulihan untuk Amazon Timestream arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012_beta
Titik pemulihan untuk AWS CloudFormation template arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012
Titik pemulihan untuk database SAP HANA pada instans Amazon EC2 arn:aws:backup:region:account-id:recovery-point:* recovery-point:1a2b3cde-f405-6789-012g-3456hi789012

Sumber daya yang mendukung AWS Backup manajemen penuh semuanya memiliki titik pemulihan dalam formatarn:aws:backup:region:account-id::recovery-point:*. Memudahkan Anda menerapkan kebijakan izin untuk melindungi titik pemulihan tersebut. Untuk melihat sumber daya mana yang mendukung AWS Backup manajemen penuh, lihat bagian Ketersediaan fitur berdasarkan sumber daya tabel tersebut.

AWS Backup menyediakan satu set operasi untuk bekerja dengan AWS Backup sumber daya. Untuk daftar operasi yang tersedia, lihat AWS Backup Tindakan.

Kepemilikan sumber daya

Akun AWS Memiliki sumber daya yang dibuat di akun, terlepas dari siapa yang menciptakan sumber daya. Secara khusus, pemilik sumber daya adalah entitas utama (yaitu, pengguna Akun AWS root, pengguna IAM, atau peran IAM) yang mengautentikasi permintaan pembuatan sumber daya. Akun AWS Contoh berikut menggambarkan cara kerjanya:

  • Jika Anda menggunakan kredensyal pengguna Akun AWS root Anda Akun AWS untuk membuat brankas cadangan, Anda Akun AWS adalah pemilik brankas.

  • Jika Anda membuat pengguna IAM di Akun AWS dan memberikan izin untuk membuat brankas cadangan kepada pengguna tersebut, pengguna dapat membuat brankas cadangan. Namun, AWS akun Anda, tempat pengguna berada, memiliki sumber daya brankas cadangan.

  • Jika Anda membuat peran IAM Akun AWS dengan izin untuk membuat brankas cadangan, siapa pun yang dapat mengambil peran tersebut dapat membuat vault. Anda Akun AWS, yang menjadi milik peran tersebut, memiliki sumber daya brankas cadangan.

Menentukan elemen kebijakan: tindakan, efek, dan prinsip

Untuk setiap AWS Backup sumber daya (lihatSumber daya dan operasi), layanan mendefinisikan satu set operasi API (lihatTindakan). Untuk memberikan izin untuk operasi API ini, AWS Backup tentukan serangkaian tindakan yang dapat Anda tentukan dalam kebijakan. Operasi API dapat memerlukan izin untuk lebih dari satu tindakan.

Berikut adalah elemen-elemen kebijakan yang paling dasar:

  • Sumber daya – Dalam kebijakan, Anda menggunakan Amazon Resource Name (ARN) untuk mengidentifikasi sumber daya yang diatur kebijakan. Untuk informasi selengkapnya, lihat Sumber daya dan operasi.

  • Tindakan – Anda menggunakan kata kunci tindakan untuk mengidentifikasi operasi sumber daya yang ingin Anda izinkan atau tolak.

  • Efek – Anda menentukan efek ketika pengguna meminta tindakan tertentu—efek ini dapat berupa pemberian izin atau penolakan. Jika Anda tidak secara eksplisit memberikan akses ke (mengizinkan) sumber daya, akses akan ditolak secara implisit. Anda juga dapat secara eksplisit menolak akses ke sumber daya, yang mungkin Anda lakukan untuk memastikan bahwa pengguna tidak dapat mengaksesnya, meskipun kebijakan yang berbeda memberikan akses.

  • Principal – Dalam kebijakan berbasis identitas (Kebijakan IAM), pengguna yang kebijakannya terlampir adalah principal yang implisit. Untuk kebijakan berbasis sumber daya, Anda menentukan pengguna, akun, layanan, atau entitas lain yang diinginkan untuk menerima izin (berlaku hanya untuk kebijakan berbasis sumber daya).

Untuk mem-pelajari selengkapnya tentang sintaksis dan penjelasan kebijakan IAM, lihat Referensi Kebijakan JSON IAM dalam Panduan Pengguna IAM.

Untuk tabel yang menampilkan semua tindakan AWS Backup API, lihatIzin API: referensi tindakan, sumber daya, dan kondisi.

Menentukan kondisi dalam kebijakan

Ketika Anda memberikan izin, Anda dapat menggunakan bahasa kebijakan IAM untuk menentukan kondisi ketika kebijakan harus berlaku. Misalnya, Anda mungkin ingin kebijakan diterapkan hanya setelah tanggal tertentu. Untuk informasi selengkapnya tentang menentukan kondisi dalam bahasa kebijakan, lihat Kondisi dalam Panduan Pengguna IAM.

AWS mendukung kunci kondisi global dan kunci kondisi khusus layanan. Untuk melihat semua kunci kondisi global, lihat kunci konteks kondisi AWS global di Panduan Pengguna IAM.

AWS Backup mendefinisikan set sendiri dari kunci kondisi. Untuk melihat daftar kunci AWS Backup kondisi, lihat Kunci kondisi untuk AWS Backup dalam Referensi Otorisasi Layanan.

Izin API: referensi tindakan, sumber daya, dan kondisi

Saat Anda mengatur Pengendalian akses dan menulis kebijakan izin yang dapat Anda lampirkan ke identitas IAM (kebijakan berbasis identitas), Anda dapat menggunakan tabel sebagai referensi. setiap operasi AWS Backup API, tindakan terkait yang dapat Anda berikan izin untuk melakukan tindakan, dan AWS sumber daya yang dapat Anda berikan izin. Anda menentukan tindakan dalam bidang Action kebijakan, dan Anda menentukan nilai sumber daya pada bidang Resource kebijakan. Jika Resource bidang kosong, Anda dapat menggunakan wildcard (*) untuk menyertakan semua sumber daya.

Anda dapat menggunakan kunci kondisi AWS-wide dalam AWS Backup kebijakan Anda untuk menyatakan kondisi. Untuk daftar lengkap tombol AWS-wide, lihat Kunci yang Tersedia di Panduan Pengguna IAM.

Gunakan bilah gulir untuk melihat seluruh tabel.

1 Menggunakan kebijakan akses vault yang ada.

2 Lihat AWS Backup ARN sumber daya untuk ARN titik pemulihan khusus sumber daya.

3 StartRestoreJob harus memiliki pasangan kunci-nilai dalam metadata untuk sumber daya. Untuk mendapatkan metadata sumber daya, panggil API. GetRecoveryPointRestoreMetadata

4 Jenis sumber daya tertentu memerlukan peran yang melakukan pencadangan untuk memiliki izin penandaan tertentu backup:TagResource jika Anda berencana untuk menyertakan tag sumber daya asli dalam cadangan Anda atau menambahkan tag tambahan ke cadangan. Setiap cadangan dengan ARN dimulai dengan arn:aws:backup:region:account-id:recovery-point: atau cadangan yang berkelanjutan memerlukan izin ini. backup:TagResourceIzin harus diterapkan untuk "resourcetype": "arn:aws:backup:region:account-id:recovery-point:*"

Untuk informasi selengkapnya, lihat Kunci tindakan, sumber daya, dan kondisi AWS Backup di Referensi Otorisasi Layanan.

Izin menyalin tag

Saat AWS Backup melakukan pekerjaan pencadangan atau penyalinan, ia mencoba menyalin tag dari sumber daya sumber Anda (atau titik pemulihan dalam kasus penyalinan) ke titik pemulihan Anda.

catatan

AWS Backup tidak menyalin tag secara asli selama pekerjaan pemulihan. Untuk arsitektur berbasis peristiwa yang akan menyalin tag selama pekerjaan pemulihan, lihat Cara menyimpan tag sumber daya dalam AWS Backup memulihkan pekerjaan.

Selama pekerjaan pencadangan atau penyalinan, AWS Backup agregat tag yang Anda tentukan dalam paket cadangan (atau salin paket, atau cadangan sesuai permintaan) dengan tag dari sumber daya sumber Anda. Namun, AWS memberlakukan batas 50 tag per sumber daya, yang AWS Backup tidak dapat melebihi. Ketika pencadangan atau salinan pekerjaan mengumpulkan tag dari paket dan sumber daya, mungkin menemukan lebih dari 50 tag total, itu tidak akan dapat menyelesaikan pekerjaan, dan akan gagal dalam pekerjaan. Ini konsisten dengan praktik terbaik penandaan AWS-wide. Untuk mempelajari selengkapnya, lihat Batas tag di Panduan Referensi AWS Umum.

  • Sumber daya Anda memiliki lebih dari 50 tag setelah menggabungkan tag pekerjaan cadangan Anda dengan tag sumber daya sumber Anda. AWS mendukung hingga 50 tag per sumber daya. Untuk informasi selengkapnya, lihat Batas tag.

  • Peran IAM yang Anda berikan AWS Backup tidak memiliki izin untuk membaca tag sumber atau menetapkan tag tujuan. Untuk informasi selengkapnya dan contoh kebijakan peran IAM, lihat Kebijakan Terkelola.

Anda dapat menggunakan paket cadangan untuk membuat tag yang bertentangan dengan tag sumber daya sumber Anda. Ketika kedua konflik, tag dari rencana cadangan Anda diutamakan. Gunakan teknik ini jika Anda memilih untuk tidak menyalin nilai tag dari sumber daya sumber Anda. Tentukan kunci tag yang sama, tetapi nilainya berbeda atau kosong, menggunakan paket cadangan Anda.

Izin Diperlukan untuk menetapkan tag ke cadangan
Jenis sumber daya Izin yang diperlukan
Sistem file Amazon EFS

elasticfilesystem:DescribeTags
Sistem file Amazon FSx

fsx:ListTagsForResource
Basis data Amazon RDS dan cluster Amazon Aurora

rds:AddTagsToResource

rds:ListTagsForResource
Volume Storage Gateway

storagegateway:ListTagsForResource
Instans Amazon EC2 dan volume Amazon EBS

EC2:CreateTags

EC2:DescribeTags

DynamoDB tidak mendukung penetapan tag ke cadangan kecuali Anda mengaktifkan terlebih dahulu. Cadangan DynamoDB tingkat lanjut

Saat cadangan Amazon EC2 membuat Titik Pemulihan Gambar dan sekumpulan snapshot, AWS Backup menyalin tag ke AMI yang dihasilkan. AWS Backup juga menyalin tag dari volume yang terkait dengan instans Amazon EC2 ke snapshot yang dihasilkan.

Kebijakan akses

Kebijakan izin menjelaskan siapa yang memiliki akses ke suatu objek. Kebijakan yang terlampir pada identitas IAM disebut sebagai kebijakan berbasis identitas (kebijakan IAM). Kebijakan yang melekat pada sumber daya disebut sebagai kebijakan berbasis sumber daya. AWS Backup mendukung kebijakan berbasis identitas dan kebijakan berbasis sumber daya.

catatan

Bagian ini membahas penggunaan IAM dalam konteks. AWS Backup Bagian ini tidak memberikan informasi yang mendetail tentang layanan IAM. Untuk dokumentasi IAM lengkap, lihat Apa yang Dimaksud dengan IAM? dalam Panduan Pengguna IAM. Untuk informasi tentang sintaksis dan penjelasan kebijakan IAM, lihat Referensi Kebijakan IAM JSON dalam Panduan Pengguna IAM.

Kebijakan berbasis identitas (kebijakan IAM)

Kebijakan berbasis identitas adalah kebijakan yang dapat Anda lampirkan ke identitas IAM, seperti pengguna atau peran. Misalnya, Anda dapat menentukan kebijakan yang memungkinkan pengguna untuk melihat dan mencadangkan AWS sumber daya, tetapi mencegahnya memulihkan cadangan.

Untuk informasi lebih lanjut tentang pengguna, grup, peran, dan izin, lihat Identitas (Pengguna, Grup, dan Peran) dalam Panduan Pengguna IAM.

Untuk informasi tentang cara menggunakan kebijakan IAM untuk mengontrol akses ke cadangan, lihat. Kebijakan terkelola untuk AWS Backup

Kebijakan berbasis sumber daya

AWS Backup mendukung kebijakan akses berbasis sumber daya untuk brankas cadangan. Ini memungkinkan Anda menentukan kebijakan akses yang dapat mengontrol pengguna mana yang memiliki jenis akses apa pun ke cadangan apa pun yang diatur dalam brankas cadangan. Kebijakan akses berbasis sumber daya untuk brankas cadangan menyediakan cara mudah untuk mengontrol akses ke cadangan Anda.

Kebijakan akses vault cadangan mengontrol akses pengguna saat Anda menggunakan AWS Backup API. Beberapa jenis cadangan, seperti snapshot Amazon Elastic Block Store (Amazon EBS) dan Amazon Relational Database Service (Amazon RDS), juga dapat diakses menggunakan API layanan tersebut. Anda dapat membuat kebijakan akses terpisah di IAM yang mengontrol akses ke API tersebut untuk sepenuhnya mengontrol akses ke cadangan.

Untuk mempelajari cara membuat kebijakan akses untuk brankas cadangan, lihat. Tetapkan kebijakan akses pada brankas cadangan