Prasyarat

Sebelum Anda dapat mengatur AWS Backup sumber daya AWS Control Tower, Anda harus memiliki AWS Organizations organisasi yang sudah ada. Jika Anda telah menyiapkan zona landing zone AWS Control Tower, itu berfungsi sebagai organisasi Anda yang sudah ada.

Anda harus mengalokasikan atau membuat dua AWS akun lain yang tidak terdaftar di AWS Control Tower. Akun-akun ini menjadi akun cadangan pusat dan akun administrator cadangan. Beri nama akun ini dengan nama-nama itu.

Selain itu, Anda harus memilih atau membuat kunci Multi-region AWS Key Management Service (KMS), khusus untuk Backup AWS .

Mendefinisikan prasyarat Anda

• Akun cadangan pusat —Akun cadangan pusat menyimpan brankas cadangan AWS Control Tower dan pencadangan Anda. Vault ini dibuat di semua Wilayah AWS yang diatur AWS Control Tower, dalam akun ini. Salinan lintas akun disimpan di akun ini, jika akun dikompromikan dan memerlukan pemulihan data.

• Akun administrator cadangan —Akun administrator cadangan adalah akun administrator yang didelegasikan untuk AWS Backup layanan di AWS Control Tower. Ini menyimpan rencana laporan Backup Audit Manager (BAM). Akun ini mengumpulkan semua data pemantauan cadangan, seperti memulihkan pekerjaan dan menyalin pekerjaan. Data disimpan dalam ember Amazon S3. Untuk informasi selengkapnya, lihat Membuat rencana laporan menggunakan AWS Backup konsol di Panduan AWS Backup Pengembang.

• Persyaratan kebijakan untuk kunci Multi-wilayah AWS KMS

  AWS KMS Kunci Anda membutuhkan kebijakan utama. Pertimbangkan kebijakan utama yang serupa dengan kebijakan ini, yang membatasi akses ke prinsipal (pengguna dan peran) yang memiliki izin IAM root yang terkait dengan akun manajemen organisasi Anda:

  {
      "Version": "2012-10-17",
      "Id": "KMS key policy",
      "Statement": [
          {
              "Sid": "Enable IAM User Permissions",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::MANAGEMENT-ACCOUNT-ID:root"
              },
              "Action": "kms:*",
              "Resource": "*"
          },
          {
              "Sid": "Allow use of the KMS key for organization",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "*"
              },
              "Action": [
                  "kms:Decrypt",
                  "kms:DescribeKey",
                  "kms:Encrypt",
                  "kms:ReEncrypt*",
                  "kms:GetKeyPolicy",
                  "kms:CreateGrant",
                  "kms:ListGrants",
                  "kms:RevokeGrant"
              ],
              "Resource": "*",
              "Condition": {
                  "StringEquals": {
                      "aws:PrincipalOrgID": "ORGANIZATION-ID"
                  }
              }
          }
      ]
  }

catatan

AWS KMS Kunci multi-wilayah Anda harus direplikasi untuk setiap Wilayah AWS yang Anda rencanakan untuk diatur dengan AWS Control Tower.