Comment configurer un verrou de coffre-fort de sauvegarde AWS ?

Résolution

Le verrou de coffre-fort de sauvegarde AWS est une fonctionnalité optionnelle d'un coffre-fort de sauvegarde. Pour plus d'informations, consultez Verrou de Coffre-fort de Sauvegarde AWS.

Verrouiller un coffre-fort de sauvegarde à l'aide de la console

Pour ajouter un verrou de coffre-fort à votre coffre-fort de sauvegarde, procédez comme suit :

1. Ouvrez la console AWS Backup.
2. Dans le volet de navigation, choisissez Backup Vaults. Choisissez ensuite Backup Vault Lock.
3. DansFonctionnement du verrouillage du coffre-fort ou Verrouillages du coffre-fort choisissez + Créer un verrouillage du coffre-fort.
4. Sous Détails du verrouillage du coffre-fort, choisissez le coffre-fort de sauvegarde auquel vous souhaitez appliquer le verrouillage.
5. Dans le mode de verrouillage du coffre-fort, choisissez le mode Gouvernance ou le mode Conformité. Pour plus d'informations sur le choix de vos modes, consultez la section Modes de verrouillage du coffre-fort.
6. Pour la période de conservation, choisissez les périodes de conservation minimale et maximale (la période de conservation maximale est facultative). Seules les tâches de sauvegarde effectuées pendant les périodes de rétention sont couronnées de succès.
   Si vous avez choisi le mode Conformité, la date de début du verrouillage du coffre-fort s'affiche. Un verrou de coffre-fort en mode conformité dispose d'une période de réflexion allant de la création du verrouillage du coffre-fort jusqu'à ce que le coffre-fort et son verrou deviennent immuables. Choisissez un délai de grâce pour la durée du délai de réflexion. La période doit être d'au moins trois jours (72 heures).
   **Important :**Une fois le délai de grâce expiré, le coffre-fort et son verrouillage sont immuables. Il ne peut être ni modifié ni supprimé par aucun utilisateur ni par AWS.
7. Choisissez Créer un verrou de coffre-fort.
8. Entrez confirmation dans la zone de texte et cochez la case pour ajouter le verrou du coffre-fort.

Si les étapes ont été effectuées avec succès, une bannière de Réussite apparaît en haut de la console.

Verrouiller un coffre-fort de sauvegarde par programmation

Pour configurer un verrou de coffre-fort de sauvegarde AWS par programmation, utilisez l'API PutBackupVaultLockConfiguration.

Pour créer un verrou de coffre-fort en mode gouvernance, n'incluez pas le paramètre ChangeableForDays. Si le paramètre ChangeableForDays est inclus, le verrouillage du coffre-fort est créé en mode conformité. Pour plus d'informations, voir Verrouiller un coffre-fort de sauvegarde par programmation.

Remarque : Si vous recevez des erreurs lors de l'exécution des commandes de l’AWS CLI, assurez-vous que vous utilisez la version la plus récente de l'AWS CLI.

Voici des exemples d'utilisation de l'API de configuration put-backup-vault-lock :

La commande suivante verrouille le coffre de sauvegarde my_vault_to_lock1 avec le mode gouvernance :

aws backup put-backup-vault-lock-configuration --backup-vault-name my\_vault\_to\_lock1 --min-retention-days 1 --region us-east

La commande suivante verrouille le coffre fort vault my_vault\ _to_lock2 avec le mode de conformité. Le paramètre --changeable-for-days est ajouté pour configurer le : délai de grâce

aws backup put-backup-vault-lock-configuration --backup-vault-name my\_vault\_to\_lock --min-retention-days 1 --changeable-for-days 3 --region us-east

Déterminez si un coffre-fort est verrouillé en mode conformité ou gouvernance à l'aide de la console

Pour consulter les détails du verrou de coffre-fort de sauvegarde AWS à l'aide de la console, procédez comme suit :

1. Ouvrez la console AWS Backup.
2. Dans le volet de navigation, choisissez Backup Vaults. Choisissez ensuite Backup Vault Lock.
3. L'état du verrouillage du coffre-fort s'affiche.

Déterminez si un coffre-fort est verrouillé en mode conformité ou gouvernance par programmation

Pour consulter les détails du verrou de coffre-fort de sauvegarde AWS sur un coffre-fort, utilisez les APIs DescribeBackupVault ou ListBackupVaults.

Voici un exemple de la commande DescribeBackupVault :

aws backup describe-backup-vault --backup-vault-name s3Backup
{
    "BackupVaultName": "s3Backup",
    "BackupVaultArn": "arn:aws:backup:us-east-1:XXXXX5457:backup-vault:s3Backup",
    "EncryptionKeyArn":
    "arn:aws:kms:us-east-1:XXXXX5457:key/xxxxxxxxx-e4e294b5e1ff",

    "CreationDate": "2022-02-23T08:45:08.904000+00:00",
    "CreatorRequestId": "xxxxxxxxx-5903d602b45a",
    "NumberOfRecoveryPoints": 0,
    "Locked": true,

    "MinRetentionDays": 1,
    "LockDate": "2023-03-26T12:05:24.117000+01:00" }

Voici un exemple de commande ListBackupVaults :

aws backup list-backup-vaults --region us-east-1
{
    "BackupVaultList": \[
        {
            "BackupVaultName": "Vault100",
            "BackupVaultArn": "arn:aws:backup:us-east-1:XXXXXX15457:backup-vault:Vault100",
            "CreationDate": "2021-02-21T18:45:12.611000+00:00",
            "EncryptionKeyArn": "arn:aws:kms:us-east-1:XXXXX5457:key/xxxxxxxx-e4e294b5e1ff",
            "CreatorRequestId": "xxxxxxxx-8f3d5b584447",
            "NumberOfRecoveryPoints": 6,
            "Locked": true
        },
        {
           "BackupVaultName": "destinationvault",
           "BackupVaultArn": "arn:aws:backup:us-east-1:XXXXXXX15457:backup-vault:destinationvault",
           "CreationDate": "2022-10-03T22:56:44.129000+01:00",
           "EncryptionKeyArn": "arn:aws:kms:us-east-1:XXXXXXX15457:key/xxxxxxxxx-aa4f-48834efceebe",
           "CreatorRequestId": "xxxxxxxxxx-ea7cb20a2a01",
           "NumberOfRecoveryPoints": 5,
           "Locked": false
       },
      {
            "BackupVaultName": "s3Backup",
            "BackupVaultArn": "arn:aws:backup:us-east-1:XXXXXX5457:backup-vault:s3Backup",
            "CreationDate": "2022-02-23T08:45:08.904000+00:00",
            "EncryptionKeyArn": "arn:aws:kms:us-east-1:XXXXXXX5457:key/xxxxxxxxx-e4e294b5e1ff",
            "CreatorRequestId": "xxxxxxxxxx-5903d602b45a",
            "NumberOfRecoveryPoints": 0,
            "Locked": true,
            "MinRetentionDays": 1,
            "LockDate": "2023-03-26T12:05:24.117000+01:00"
        }

L'exemple de sortie précédent fournit les informations suivantes :

• Le verrouillage des coffres-forts S3backup et Vault100 est activé car Locked est défini sur true.
• Le verrouillage du coffre-fort de destination n'est pas activé car Locked est défini sur false.
• Le coffre-fort S3Backup utilise le mode de conformité car un LockDate est renseigné.
• Le coffre-fort Vault100 utilise le mode gouvernance car il ne contient pas de LockDate.

Informations connexes

Améliorez le niveau de sécurité de vos sauvegardes avec le verrou de coffre-fort de sauvegarde AWS

Fermeture de compte AWS avec un coffre-fort verrouillé