REL09-BP02 保护并加密备份
使用身份验证和授权功能来控制并检测对备份的访问。使用加密功能防止备份的数据完整性遭到破坏，以及检测其完整性是否遭到损坏。
常见反模式：
-
对备份和还原自动化的访问权限与对数据的访问权限相同。
-
不加密备份。
建立此最佳实践的好处：保护备份安全可防止篡改数据，而加密数据可防止数据意外暴露时遭到访问。
在未建立这种最佳实践的情况下暴露的风险等级：高
实施指导
使用 AWS Identity and Access Management（IAM）等身份验证和授权服务来控制并检测对备份的访问。使用加密功能防止备份的数据完整性遭到破坏，以及检测其完整性是否遭到损坏。
Amazon S3 支持多种对静态数据进行加密的方式。借助服务器端加密功能，Amazon S3 以未加密数据的形式接受对象，然后在存储此类数据时进行加密。若采用客户端加密，工作负载应用程序需要负责在将数据发送到 Amazon S3 之前加密数据。这两种方式都让您可以使用 AWS Key Management Service（AWS KMS）创建并存储数据密钥，或者您也可以提供自己的密钥并自行对其负责。使用 AWS KMS，您可以通过 IAM 设置策略，决定谁可以、谁不可以访问数据密钥与解密数据。
针对 Amazon RDS，如果您已选择对数据库进行加密，那么备份也会被加密。DynamoDB 备份始终加密。使用 AWS Elastic Disaster Recovery 时，加密所有传输中数据和静态数据。借助弹性灾难恢复，可以使用默认的 Amazon EBS 加密“卷加密密钥”或自定义的客户自主管理型密钥来加密静态数据。
实施步骤
对每个数据存储使用加密。如果源数据已加密，则备份也将被加密。
-
在 Amazon RDS 中使用加密。当您创建 RDS 实例时，可以使用 AWS Key Management Service 配置静态加密。
-
在 Amazon EBS 卷上使用加密。您可以配置默认加密或在创建卷时指定唯一密钥。
-
使用所需的 Amazon DynamoDB 加密。DynamoDB 可加密所有静态数据。您可以使用 AWS 拥有的 AWS KMS 密钥或者 AWS 托管式 KMS 密钥，指定存储在账户中的密钥。
-
加密 Amazon EFS 中存储的数据。在创建文件系统时配置加密。
-
在源和目标区域中配置加密。您可以使用 KMS 中存储的密钥在 Amazon S3 中配置静态加密，但这些密钥是区域特定密钥。您在配置复制时可以指定目标密钥。
-
选择是为弹性灾难恢复使用默认还是自定义 Amazon EBS 加密。使用此选项会加密暂存区域子网磁盘和复制磁盘上的已复制静态数据。
-
实施用于访问备份的最低权限。请遵循最佳实践，根据安全最佳实践来限制对备份、快照和副本的访问。
资源
相关文档：
相关示例：
