¿Cómo configuro el Bloqueo de almacenes de AWS Backup?

Resolución de problemas

Bloqueo de almacenes de AWS Backup es una función opcional de una bóveda de copias de seguridad. Para obtener más información, consulte Bloqueo de almacenes de AWS Backup.

Bloquear un almacén de copias de seguridad mediante la consola

Para agregar un bloqueo de almacenes al almacén de copias de seguridad, siga estos pasos:

1. Abra la consola de AWS Backup.
2. En el panel de navegación, seleccione Almacenes de copias de seguridad. A continuación, seleccione Bloqueo de almacenes de copias de seguridad.
3. En ¿Cómo funcionan los bloqueos de almacenes? o Bloqueos de almacenes, seleccione + Crear bloqueo de almacenes.
4. En Detalles del bloqueo de almacenes, seleccione el almacén de copias de seguridad al que desee aplicar el bloqueo.
5. En el Modo de bloqueo de almacenes, seleccione el Modo de control o el Modo de cumplimiento. Para obtener más información sobre cómo elegir los modos, consulte Modos de bloqueo de almacenes.
6. En Período de conservación, seleccione los períodos de conservación mínimo y máximo (el período máximo de conservación es opcional). Solamente los trabajos de copias de seguridad que respetan los períodos de conservación se realizan correctamente.
   Si selecciona Modo de cumplimiento, se mostrará la fecha de inicio del bloqueo del almacén. El bloqueo de almacenes en modo de cumplimiento tiene un período de enfriamiento desde la creación del bloqueo de almacenes hasta que el almacén y su bloqueo dejan de poder modificarse. Seleccione un período de gracia durante el período de enfriamiento. El período debe ser de al menos tres días (72 horas).
   Importante: Una vez transcurrido el período de gracia, el almacén y su bloqueo no se podrán modificar. Ningún usuario ni AWS podrán modificarlos ni eliminarlos.
7. Seleccione Crear bloqueo de almacenes.
8. Introduzca confirmar en el cuadro de texto y active la casilla para añadir el bloqueo de almacenes.

Si los pasos se han seguido correctamente, aparecerá el mensaje emergente Correcto en la parte superior de la consola.

Bloquear un almacén de copias de seguridad mediante programación

Para configurar el Bloqueo de almacenes de AWS Backup mediante programación, utilice la API PutBackupVaultLockConfiguration.

Para crear el bloqueo de almacenes en el modo de control, no incluya el parámetro ChangeableForDays. Si se incluye el parámetro ChangeableForDays, el bloqueo de almacenes se creará en el modo de cumplimiento. Para obtener más información, consulte Bloquear un almacén de copias de seguridad mediante programación.

Nota: Si recibe errores al ejecutar los comandos de AWS CLI, asegúrese de utilizar la versión más reciente de AWS CLI.

He aquí unos ejemplos del uso de la API put-backup-vault-lock-configuration:

El siguiente comando bloquea el almacén de copias de seguridad my_vault_to_lock1 con el modo de control:

aws backup put-backup-vault-lock-configuration --backup-vault-name my\_vault\_to\_lock1 --min-retention-days 1 --region us-east

El siguiente comando bloquea el almacén my_vault_to_lock2 con el modo de cumplimiento. Se añade el parámetro --changeable-for-days para configurar el período de gracia:

aws backup put-backup-vault-lock-configuration --backup-vault-name my\_vault\_to\_lock --min-retention-days 1 --changeable-for-days 3 --region us-east

Determinar si un almacén está bloqueado en modo de cumplimiento o de control mediante la consola

Para revisar los detalles de Bloqueo de almacenes de AWS Backup mediante la consola, haga lo siguiente:

1. Abra la consola de AWS Backup.
2. En el panel de navegación, seleccione Almacenes de copias de seguridad. A continuación, seleccione Bloqueo de almacenes de copias de seguridad.
3. Se mostrará el estado de bloqueo del almacén.

Determinar si un almacén está bloqueado en modo de cumplimiento o de control mediante programación

Para revisar los detalles del Bloqueo de almacenes de AWS Backup en un almacén, utilice las API DescribeBackupVault o ListBackupVaults.

He aquí un ejemplo del comando DescribeBackupVault:

aws backup describe-backup-vault --backup-vault-name s3Backup
{
    "BackupVaultName": "s3Backup",
    "BackupVaultArn": "arn:aws:backup:us-east-1:XXXXX5457:backup-vault:s3Backup",
    "EncryptionKeyArn":
    "arn:aws:kms:us-east-1:XXXXX5457:key/xxxxxxxxx-e4e294b5e1ff",

    "CreationDate": "2022-02-23T08:45:08.904000+00:00",
    "CreatorRequestId": "xxxxxxxxx-5903d602b45a",
    "NumberOfRecoveryPoints": 0,
    "Locked": true,

    "MinRetentionDays": 1,
    "LockDate": "2023-03-26T12:05:24.117000+01:00" }

He aquí un ejemplo del comando ListBackupVaults:

aws backup list-backup-vaults --region us-east-1
{
    "BackupVaultList": \[
        {
            "BackupVaultName": "Vault100",
            "BackupVaultArn": "arn:aws:backup:us-east-1:XXXXXX15457:backup-vault:Vault100",
            "CreationDate": "2021-02-21T18:45:12.611000+00:00",
            "EncryptionKeyArn": "arn:aws:kms:us-east-1:XXXXX5457:key/xxxxxxxx-e4e294b5e1ff",
            "CreatorRequestId": "xxxxxxxx-8f3d5b584447",
            "NumberOfRecoveryPoints": 6,
            "Locked": true
        },
        {
           "BackupVaultName": "destinationvault",
           "BackupVaultArn": "arn:aws:backup:us-east-1:XXXXXXX15457:backup-vault:destinationvault",
           "CreationDate": "2022-10-03T22:56:44.129000+01:00",
           "EncryptionKeyArn": "arn:aws:kms:us-east-1:XXXXXXX15457:key/xxxxxxxxx-aa4f-48834efceebe",
           "CreatorRequestId": "xxxxxxxxxx-ea7cb20a2a01",
           "NumberOfRecoveryPoints": 5,
           "Locked": false
       },
      {
            "BackupVaultName": "s3Backup",
            "BackupVaultArn": "arn:aws:backup:us-east-1:XXXXXX5457:backup-vault:s3Backup",
            "CreationDate": "2022-02-23T08:45:08.904000+00:00",
            "EncryptionKeyArn": "arn:aws:kms:us-east-1:XXXXXXX5457:key/xxxxxxxxx-e4e294b5e1ff",
            "CreatorRequestId": "xxxxxxxxxx-5903d602b45a",
            "NumberOfRecoveryPoints": 0,
            "Locked": true,
            "MinRetentionDays": 1,
            "LockDate": "2023-03-26T12:05:24.117000+01:00"
        }

El resultado de los ejemplos anteriores proporciona la siguiente información:

• Los almacenes s3Backup y Vault100 tienen activado el bloqueo de almacenes porque Locked está configurado como true.
• El almacén destinationvault no tiene activado el bloqueo de almacenes porque Locked está configurado como false.
• El almacén s3Backup utiliza el modo de cumplimiento porque se rellena LockDate.
• El almacén Vault100 utiliza el modo de control porque no contiene ninguna LockedDate.

Información relacionada

Mejorar la posición de seguridad de las copias de seguridad con Bloqueo de almacenes de AWS Backup

Cierre de la cuenta de AWS con un almacén bloqueado