Comment générer des rapports d'audit dans AWS Backup ?

Brève description

Vous pouvez utiliser les rapports d’AWS Backup Audit Manager pour obtenir des informations concernant l'état des tâches de sauvegarde, de restauration et de copie. AWS Backup Audit Manager propose deux types de rapports d'audit, à savoir les rapports de sauvegarde et les rapports de conformité. Les rapports de sauvegarde surveillent les activités de sauvegarde liées à votre compte, puis signalent les problèmes qui doivent être résolus. Les rapports de conformité vous permettent de savoir si vos ressources et activités de sauvegarde sont conformes aux contrôles définis dans vos cadres.

Pour créer un rapport d'audit, procédez comme suit :

1. Choisissez un modèle de rapport.
2. Créez des plans de rapport.
3. Autorisez AWS Backup Audit Manager à générer des rapports quotidiens, ou créez des rapports à la demande.

Résolution

Remarque : si des messages d’erreurs surviennent lors de l'exécution des commandes de l'interface de la ligne de commande AWS (AWS CLI), vérifiez que vous utilisez la version la plus récente de l’interface.

Choix de votre modèle de rapport

Un modèle de rapport présente les informations qui sont incluses dans les rapports par les plans de rapport. Vous pouvez choisir d'utiliser un modèle de rapport de sauvegarde ou un modèle de rapport de conformité.

Création d’un plan de rapport

Pour créer des plans de rapport, utilisez la console AWS Backup ou l'appel d'API CreateReportPlan.

Les plans de rapport sont similaires aux plans de sauvegarde dans la mesure où ils permettent d’automatiser la création de rapports d'audit. Pour ce faire, allouez un compartiment Amazon Simple Storage Service (Amazon S3) dans le compte AWS sur lequel le plan de rapport est configuré. Utilisez ensuite le compartiment Amazon S3 pour la livraison de vos rapports.

Pour utiliser la console AWS Backup afin de créer un plan de rapport, procédez comme suit :

1. Ouvrez la console AWS Backup.
2. Dans le volet de navigation, sous Backup Audit Manager, choisissez Rapports.
3. Choisissez ensuite Créer un plan de rapport.
4. Sous Modèle de rapport, choisissez un modèle de rapport dans la liste déroulante.
5. Saisissez le Nom du plan de rapport et une Description du plan de rapport. (Facultatif) Choisissez Ajouter des balises au plan de rapport pour ajouter des balises à votre plan.
6. Pour générer des rapports uniquement pour le compte auquel vous êtes actuellement connecté, sous Comptes, choisissez Uniquement mon compte. Si vous utilisez un compte de gestion, vous pouvez inclure plusieurs comptes dans votre plan de rapport. Pour ce faire, choisissez Un ou plusieurs comptes de mon organisation. Cette option est uniquement disponible pour les comptes de gestion.
   Remarque : si vous choisissez Un ou plusieurs comptes de mon organisation, AWS Backup créera des rapports pour tous les cadres existants dans les comptes spécifiés. Si un compte ou une région ne comprend aucun cadre, AWS Backup génèrera un rapport vide.
7. Dans la liste déroulante, choisissez votre région AWS et le cadre correspondant à cette région. Choisissez ensuite Ajouter un cadre.Vous pouvez ignorer cette étape si vous avez choisi d'utiliser un Modèle de rapport de sauvegarde ou si vous avez utilisé l'option Un ou plusieurs comptes de mon organisation. Pour en savoir plus sur l'ajout de cadres, consultez la section Utilisation de cadres d'audit. 
   Remarque : vous pouvez sélectionner plusieurs régions à inclure dans votre rapport. Cliquez sur la liste déroulante pour afficher les régions disponibles, ou choisissez Toutes les régions disponibles.
8. Choisissez le Format de fichier de votre rapport. Vous pouvez exporter tous les rapports sous forme de fichier .csv. Vous pouvez également exporter les rapports d'une région et d'un compte au format JSON.
9. Sous Choisir un compartiment Amazon S3 pour la livraison des rapports, choisissez le nom du compartiment S3 auquel vous souhaitez envoyer les rapports. (Facultatif) Vous pouvez également choisir un préfixe dans le compartiment S3.
10. Choisissez ensuite Créer un plan de rapport.

Une fois votre plan de rapport créé, AWS Backup Audit Manager génère automatiquement une stratégie d'accès que vous pouvez appliquer au compartiment S3. Voici un exemple de stratégie d'accès pour un compartiment S3 :

{  "Version":"2012-10-17",  "Statement":[    {      "Effect":"Allow",      "Principal":{        "AWS":"arn:aws:iam::11111111:role/aws-service-role/reports.backup.amazonaws.com/AWSServiceRoleForBackupReports"      },      "Action":"s3:PutObject",      "Resource":[        "arn:aws:s3:::BucketName/*"      ],      "Condition":{        "StringEquals":{          "s3:x-amz-acl":"bucket-owner-full-control"        }      }    }  ]}

Votre compartiment S3 peut être chiffré à l'aide d'une clé AWS Key Management Service (AWS KMS) personnalisée. Dans ce cas, assurez-vous que la stratégie de clé inclut AWS Backup en tant qu'utilisateur. Voici un exemple de stratégie CMK qui autorise AWS Backup à accéder à un compartiment S3 chiffré en tant qu'utilisateur :

{  "Version":"2012-10-17",  "Statement":[    {      "Effect":"Allow",      "Principal":{        "AWS":"arn:aws:iam::11111111:role/aws-service-role/reports.backup.amazonaws.com/AWSServiceRoleForBackupReports"      },      "Action":[                "kms:GenerateDataKey",                "kms:Encrypt"            ],      "Resource":[        "*"      ]    }  ]}

Génération de rapports quotidiens par AWS Backup Audit Manager ou création de rapports à la demande

AWS Backup Audit Manager envoie un rapport quotidien au compartiment S3 que vous avez configuré. Le délai de livraison du rapport peut cependant varier, car AWS Backup Audit Manager randomise ce processus pour maintenir ses performances.

Pour créer un rapport à la demande, procédez comme suit :

1. Ouvrez la console AWS Backup.
2. Dans le volet de navigation, sous Backup Audit Manager, choisissez Rapports.
3. Sous Nom du plan de rapport, choisissez votre plan de rapport.
4. Choisissez Créer un rapport à la demande.

Remarque : il n'existe pas d'option native pour générer des rapports de sauvegarde entre des dates spécifiques. Vous pouvez utiliser la console AWS Backup pour consulter les tâches effectuées lors des 30 derniers jours. Ces données ne peuvent cependant pas être exportées sous forme de rapport. À la place, vous pouvez exécutez la commande AWS CLI suivante pour répertorier et regrouper les tâches de sauvegarde sous forme de fichier .csv :

aws backup list-backup-jobs --by-created-before 2023-02-02 --by-created-after 2023-03-01 --max-results 1000 --output text > sample-report.csv

Pour filtrer les données, pour pouvez inclure des paramètres supplémentaires, tels que —by-state.