Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Attività amministrative
Diverse attività relative alla Multi-party panoramica richiedevano un utente con autorizzazioni di amministratore AWS Backup e accesso all'account di gestione.
## Crea un team di approvazione
Un utente della tua organizzazione con autorizzazioni di amministratore per un AWS account deve [ configurare Multi-party l'approvazione ](https://docs.aws.amazon.com/mpa/latest/userguide/setting-up.html) (passaggio 3 nella [ Panoramica](multipartyapproval.md#multipartyapproval-overview)).
Prima di eseguire questo passaggio, è consigliabile configurare sia un'organizzazione primaria che un'organizzazione secondaria (per scopi di ripristino) tramite AWS Organizations (passaggio 1) in [ Panoramica](multipartyapproval.md#multipartyapproval-overview).
Consulta [ Creazione di un team di * Multi-party approvazione *](https://docs.aws.amazon.com/mpa/latest/userguide/create-team.html#create-team-steps) nella guida utente all'approvazione per creare il tuo team.
Durante l'[`aws mpa create-approval-team`](https://docs.aws.amazon.com/mpa/latest/APIReference/API_CreateApprovalTeam.html)operazione, uno dei parametri è`policies`. Questo è un elenco di ARN (Amazon Resource Names) per le politiche di Multi-party approvazione delle risorse che definiscono le autorizzazioni che proteggono il team.
La politica mostrata nell'esempio nella Guida per * Multi-party l'utente di approvazione * nella procedura [ Crea un team di approvazione ](https://docs.aws.amazon.com/mpa/latest/userguide/create-team.html#create-team-steps) contiene la politica `["arn:aws:mpa::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault"]` con diverse autorizzazioni necessarie.
Segui questi passaggi per restituire un elenco delle politiche disponibili utilizzando`mpa list-policies`:
1. Elenca le politiche:
```
aws mpa list-policies --region us-east-1
```
1. Elenca tutte le versioni delle policy:
```
aws mpa list-policy-versions --policy-arn arn:aws:mpa:::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault --region us-east-1
```
1. Ottieni dettagli su una politica:
```
aws mpa get-policy-version --policy-version-arn arn:aws:mpa:::aws:policy/backup.amazonaws.com/CreateRestoreAccessVault/1 --region us-east-1
```
Espandi di seguito per visualizzare la politica che verrà creata e poi allegata al tuo team di approvazione con questa operazione:
### Ripristina la politica di accesso al vault
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VaultOwnerPermissions",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Resource": "*",
"Action": [
"mpa:StartSession",
"mpa:CancelSession"
],
"Condition": {
"StringEquals": {
"mpa:RequestedOperation": "backup:RevokeRestoreAccessBackupVault",
"mpa:ProtectedResourceAccount": "${aws:PrincipalAccount}"
},
"Bool": {
"aws:ViaAWSService": "true"
}
}
}
]
}
```
------
## Condividi un team di Multi-party approvazione utilizzando AWS RAM
Puoi condividere un team di Multi-party approvazione con altri AWS account utilizzando [AWS Resource Access Manager (RAM)](https://docs.aws.amazon.com/ram/latest/userguide/working-with-sharing-create.html), passaggio 4 nella [ panoramica](multipartyapproval.md#multipartyapproval-overview).
------
#### [ Console ]
**Condividi un team di Multi-party approvazione utilizzando AWS RAM**
1. Accedi alla [console AWS RAM](https://console.aws.amazon.com/ram/home?region=us-east-1).
1. Nel riquadro di navigazione, scegli Condivisioni di ** risorse**.
1. Seleziona **Crea condivisione risorse**.
1. Nel ** campo ** Nome, inserisci un nome descrittivo per la tua condivisione di risorse.
1. In Tipo di ** risorsa**, seleziona Team di ** Multi-party approvazione ** dal menu a discesa.
1. In ** Risorse**, seleziona il team di approvazione che desideri condividere.
1. In ** Principi**, specifica gli AWS account con cui desideri condividere il team di approvazione.
1. Per condividere con AWS account specifici, seleziona gli **AWS account ** e inserisci gli ID degli account a 12 cifre.
1. Per condividere con un'organizzazione o un'unità organizzativa, seleziona ** Organizzazione ** o Unità ** organizzativa ** e inserisci l'ID appropriato.
1. (*Facoltativo*) In ** Tag**, aggiungi i tag che desideri associare a questa condivisione di risorse.
1. Seleziona **Crea condivisione risorse**.
Lo stato della condivisione delle risorse verrà inizialmente visualizzato come`PENDING`. Una volta che gli account dei destinatari accettano l'invito, lo stato cambierà in`ACTIVE`.
------
#### [ CLI ]
Per condividere un team di Multi-party approvazione AWS RAM utilizzando la CLI, utilizza i seguenti comandi:
Innanzitutto, identifica l'ARN del team di approvazione che desideri condividere:
```
aws mpa list-approval-teams --region {{us-east-1}}
```
Crea una condivisione di risorse utilizzando il comando create-resource-share:
```
aws ram create-resource-share \
--name "MPA-Team-Share" \
--resource-arns "arn:aws:mpa:{{us-east-1}}:{{ACCOUNT_ID}}:approval-team/{{TEAM_ID}}" \
--principals "{{ACCOUNT_ID_TO_SHARE_WITH}}" \
--permission-arns "arn:aws:ram::aws:permission/AWSRAMMPAApprovalTeamAccess" \
--region {{us-east-1}}
```
Per condividere con un'organizzazione anziché con account specifici:
```
aws ram create-resource-share \
--name "MPA-Team-Share" \
--resource-arns "arn:aws:mpa:{{us-east-1}}:{{ACCOUNT_ID}}:approval-team/{{TEAM_ID}}" \
--permission-arns "arn:aws:ram::aws:permission/AWSRAMMPAApprovalTeamAccess" \
--allow-external-principals \
--region {{us-east-1}}
```
Controlla lo stato della condivisione delle risorse:
```
aws ram get-resource-shares \
--resource-owner SELF \
--region {{us-east-1}}
```
Gli account del destinatario dovranno accettare l'invito alla condivisione delle risorse:
```
aws ram get-resource-share-invitations --region {{us-east-1}}
```
Esegui l'accesso all'account del destinatario per accettare un invito:
```
aws ram accept-resource-share-invitation \
--resource-share-invitation-arn "arn:aws:ram:{{REGION}}:{{ACCOUNT_ID}}:resource-share-invitation/{{INVITATION_ID}}" \
--region {{us-east-1}}
```
Una volta accettato l'invito, il team di Multi-party approvazione sarà disponibile per l'uso nell'account del destinatario.
------
AWS offre strumenti per condividere l'accesso all'account, incluso il tramite [AWS Resource Access Manager](logicallyairgappedvault.md#lag-share) e [ Multi-party l'accesso](https://docs.aws.amazon.com/mpa/latest/userguide/share-team.html). Quando scegli di condividere un vault logically air gapped con un altro account, considera i seguenti dettagli:
| Funzionalità | AWS RAM condivisione basata | Multi-party accesso basato sull'approvazione |
| --- | --- | --- |
| Accesso a camere blindate logicamente con intercapedine | Una volta completata la condivisione della RAM, è possibile accedere ai vault. | Qualsiasi tentativo da parte di un altro account deve essere approvato da un numero limite di membri del team di Multi-party approvazione. La sessione di approvazione scade automaticamente 24 ore dopo l'avvio della richiesta. |
| Rimozione dell'accesso | L'account proprietario del vault logicamente airgapped può interrompere la condivisione basata sulla RAM in qualsiasi momento. | L'accesso a un vault può essere rimosso solo su richiesta al team di approvazione. Multi-party |
| Copia tra gli account and/or e le regioni | Attualmente non è supportato. | I backup possono essere copiati all'interno dello stesso account o con altri account della stessa organizzazione dell'account di ripristino. |
| Cross-Region fatturazione del trasferimento | | Cross-Region i trasferimenti vengono fatturati sullo stesso account che possiede l'archivio di backup per l'accesso al ripristino. |
| Uso consigliato | L'uso principale è per il ripristino della perdita di dati e per i test di ripristino. | L'uso principale è per situazioni in cui si sospetta che l'accesso o la sicurezza dell'account siano compromessi. |
| Regioni | Disponibile in tutti i Regioni AWS casi in cui sono supportati i vault logicamente airgapped. | Disponibile in tutti i Regioni AWS casi in cui sono supportati gli archivi con intercapedine logiche. |
| Ripristina | Tutti i tipi di risorse supportati possono essere ripristinati da un account condiviso. | Tutti i tipi di risorse supportati possono essere ripristinati da un account condiviso. |
| Configurazione | La condivisione può avvenire non appena l' AWS Backup account imposta la condivisione della RAM e l'account ricevente accetta la condivisione. | La condivisione richiede che l'account di gestione crei prima un team, quindi configuri la condivisione della RAM. Quindi, l'account di gestione accetta Multi-party l'approvazione e assegna quel team a un deposito logicamente aperto. |
| Condivisione | La condivisione avviene tramite RAM all'interno della stessa AWS organizzazione o tra AWS organizzazioni.
L'accesso viene concesso in base al modello «push», in cui l'account proprietario del vault logicamente airgapped concede per primo l'accesso. Quindi, l'altro account accetta l'accesso. | L'accesso a un vault logicamente aperto avviene tramite i team di approvazione supportati dalle organizzazioni all'interno della stessa AWS organizzazione o di più organizzazioni.
L'accesso viene concesso in base al modello «pull», in cui l'account ricevente richiede prima l'accesso, quindi il team di approvazione concede o rifiuta la richiesta. |