Criação de planos de relatório usando o AWS Backup console

Há dois tipos de relatório: Um tipo é o relatório de trabalhos, que mostra os trabalhos concluídos nas últimas 24 horas e todos os trabalhos ativos. O segundo tipo de relatório é o relatório de conformidade. Os relatórios de conformidade podem monitorar os níveis de recursos ou os diferentes controles em vigor. Ao criar um relatório, escolha o tipo de relatório a ser criado.

Dependendo do seu tipo de conta, a exibição do console pode variar. Somente contas de gerenciamento verão a funcionalidade de várias contas.

Semelhante a um plano de backup, você cria um plano de relatório para automatizar a criação de seus relatórios e definir seu bucket do Amazon S3 de destino. Um plano de relatório exige que você tenha um bucket do S3 para receber os relatórios. Para obter instruções sobre como configurar um novo bucket do S3, consulte Etapa 1: Criar seu primeiro bucket do S3 no Guia do usuário do Amazon Simple Storage Service.

Para criar seu plano de relatório no AWS Backup console

1. Abra o AWS Backup console em https://console.aws.amazon.com/backup.

2. No painel de navegação esquerdo, escolha Relatórios.

3. Escolha Criar grupo de relatórios.

4. Escolha um dos modelos de relatório na lista.

5. Insira um nome exclusivo para o plano de relatório. Esse nome deve ter entre 1 e 256 caracteres, começando com uma letra, e consistir em letras (a-z, A-Z), números (0-9) e sublinhados (_).

6. (Opcional) Insira uma Descrição do plano de relatório.

7. Modelos de relatório de conformidade para somente uma conta. Escolha uma ou mais frameworks sobre as quais gerar o relatório. É possível adicionar no máximo 1.000 frameworks a um plano de relatório.

   1. Escolha sua AWS região.

   2. Escolha uma estrutura dessa região.

   3. Escolha Adicionar framework.

8. (Opcional) Para adicionar tags ao plano de relatório, escolha Adicionar tags ao plano de relatório.

9. Se estiver usando uma conta de gerenciamento, você poderá especificar quais contas deseja incluir nesse plano de relatório. Você poderá selecionar Somente minha conta, que gerará relatórios somente sobre a conta na qual você está conectado no momento. Ou você pode selecionar Uma ou mais contas em minha organização (disponível para contas de gerenciamento e de administrador delegado).

10. (Se você estiver criando um relatório de conformidade somente para uma região, ignore essa etapa). É possível selecionar quais regiões incluir no relatório. Clique no menu suspenso para mostrar as regiões disponíveis para você. Selecione Todas as regiões disponíveis ou as regiões de sua preferência.

    1. A caixa de seleção Incluir novas regiões quando elas forem incorporadas ao Backup Audit Manager fará com que novas regiões sejam incluídas em seus relatórios quando estiverem disponíveis.

11. Escolha o formato de arquivo do seu relatório. Todos os relatórios podem ser exportados em CSV formato. Além disso, os relatórios de uma única região e de uma única região podem ser exportados em JSON formato.

12. Escolha o Nome do bucket do S3 usando a lista suspensa.

13. (Opcional) Insira um prefixo de bucket.

    AWS Backup entrega sua conta corrente, a região atual se reporta paras3://your-bucket-name/prefix/Backup/accountID/Region/year/month/day/report-name.

    AWS Backup entrega seus relatórios de várias contas para s3://your-bucket-name/prefix/Backup/crossaccount/Region/year/month/day/report-name

    AWS Backup entrega seus relatórios interregionais para s3://your-bucket-name/prefix/Backup/accountID/crossregion/year/month/day/report-name

14. Escolha Criar grupo de relatórios.

Em seguida, você deve permitir que seu bucket do S3 receba relatórios do AWS Backup. Depois de criar um plano de relatório, o AWS Backup Audit Manager gera automaticamente uma política de acesso ao bucket do S3 para você aplicar.

Se você criptografar seu bucket usando uma KMS chave gerenciada pelo cliente, a política de KMS chaves deverá atender aos seguintes requisitos:

• O Principal atributo deve incluir a função vinculada ao serviço do Backup Audit Manager. AWSServiceRolePolicyForBackupReportsARN

• O Action atributo deve incluir kms:GenerateDataKey ekms:Decrypt, no mínimo.

A política AWSServiceRolePolicyForBackupReportstem essas permissões.

Como visualizar e aplicar essa política de acesso ao seu bucket do S3

1. Abra o AWS Backup console em https://console.aws.amazon.com/backup.

2. No painel de navegação esquerdo, escolha Relatórios.

3. Em Nome do plano de relatório, selecione um plano de relatório escolhendo seu nome.

4. Selecione a opção Editar.

5. Escolha Exibir política de acesso para o bucket do S3. Também é possível usar a política no final deste procedimento.

6. Escolha Copiar permissões.

7. Escolha Editar política de bucket. Observe que até que o relatório de backup seja criado pela primeira vez, a função vinculada ao serviço mencionada na política de bucket do S3 ainda não existirá, resultando no erro “Principal inválido”.

8. Copie as permissões na Política.

Política de bucket de exemplo

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Effect":"Allow",
      "Principal":{
        "AWS":"arn:aws:iam::123456789012:role/aws-service-role/reports.backup.amazonaws.com/AWSServiceRoleForBackupReports"
      },
      "Action":"s3:PutObject",
      "Resource":[
        "arn:aws:s3:::BucketName/*"
      ],
      "Condition":{
        "StringEquals":{
          "s3:x-amz-acl":"bucket-owner-full-control"
        }
      }
    }
  ]
}

Se você usar uma personalização AWS Key Management Service para criptografar seu bucket do S3 de destino que armazena os relatórios, inclua as seguintes ações em sua política:

      "Action":[
        "kms:GenerateDataKey",
        "kms:Encrypt"
      ],  
      "Resource":[
        "*"
      ],