Wie behebe ich die Fehler „insufficient privileges“ und „access denied“, wenn ich AWS Backup für eine Amazon-EFS-Wiederherstellung verwende?

Lösung

Vergewissere dich, dass deine IAM-Identität über die erforderlichen Berechtigungen verfügt

Überprüfe die Richtlinie der AWS Identity and Access Management (IAM)-Rolle, die den Wiederherstellungsauftrag erstellt, um sicherzustellen, dass sie über die Aktion backup:StartRestoreJob verfügt.

Wenn du die Verschlüsselung aktiviert hast, stelle sicher, dass die IAM-Richtlinie oder die AWS Key Management Service (AWS KMS)-Schlüsselrichtlinie die folgenden Aktionen enthält:

• „kms:DescribeKey“
• „kms:GenerateDataKeyWithoutPlaintext“
• „kms:CreateGrant“

Vergewissere dich, dass du die erforderlichen Amazon-EFS-Aktionen hinzugefügt hast

Die IAM-Richtlinie, die an die IAM-Rolle angefügt ist, die in der Wiederherstellungsanforderung enthalten ist, muss die folgenden Amazon-EFS-Aktionen enthalten:

• „elasticfilesystem:Restore“
• „elasticfilesystem:CreateFilesystem“
• „elasticfilesystem:DescribeFilesystems“
• „elasticfilesystem:DeleteFilesystem“

Zugriffsverweigerungs-Anweisungen entfernen

Entferne die Verweigern-Anweisungen für die Aktion backup:StartRestoreJob in der Tresorzugriffsrichtlinie. Beispielsweise verweigert die folgende Zugriffsrichtlinie für den standardmäßigen Amazon-EFS-Datentresor aws/efs/automatic-backup-vault die Aktion backup:StartRestoreJob:

{  
    "Version": "2012-10-17",  
    "Statement": [{  
        "Effect": "Deny",  
        "Principal": {  
            "AWS": "*"  
        },  
        "Action": [  
            "backup:DeleteBackupVault",  
            "backup:DeleteBackupVaultAccessPolicy",  
            "backup:DeleteRecoveryPoint",  
            "backup:StartCopyJob",  
            "backup:StartRestoreJob",  
            "backup:UpdateRecoveryPointLifecycle"  
        ],  
        "Resource": "*"  
    }]  
}

Entferne außerdem Verweigern-Anweisungen aus den IAM-Richtlinien und den Service-Kontrollrichtlinien (SCPs) von AWS Organizations, die erforderliche Aktionen für die folgenden Services verweigern:

• AWS Backup
• Amazon EFS
• ALS KMS