AWS Backup ボールト内のすべての復旧ポイントで暗号化の一貫性を保つ方法を教えてください
AWS Backup ボールトのすべての復旧ポイントで暗号化を標準化したいと考えています。
解決策
AWS Key Management Service (AWS KMS) キーを 1 つ使用して、すべての AWS Backup 復旧ポイントで暗号化の一貫性を保つことをお勧めします。
バックアップボールトと同じ AWS KMS キーを使用するようにリソースを設定するには、次の手順を実行します。
- AWS Backup コンソールを開きます。
- ナビゲーションペインで、[ボールト] を選択します。
- [このアカウントで作成されたボールト] セクションで、バックアップボールトを特定します。次に、KMS 暗号化キー ID 列でボールトの暗号化キーを取得します。
- キーポリシーを更新します。
**注:**リソースと AWS Backup を使用する AWS Identity and Access Management (IAM) ロールには、AWS KMS キーを使用するアクセス許可が必要です。
注: リソースを設定するときは、そのリソースの AWS KMS キーを必ず指定してください。たとえば、Amazon Elastic Block Store (Amazon EBS) ボリュームを作成する場合、新しいボリュームの AWS KMS キーを指定します。
バックアップ暗号化の一貫性を保つには、完全管理されたリソースと完全管理はされていないリソースに基づいてリソースを分離し、それぞれに異なるボールトを作成します。完全管理されたサービスはボールトの暗号化を使用し、完全管理されていないサービスは独自の暗号化を使用します。
リソースごとに異なる AWS KMS キーを使用する必要がある場合は、暗号化キーごとに個別のバックアップボールトを作成します。または、カスタマーマネージドキーを使用するように設定されたセントラルボールトにバックアップをコピーすることもできます。セントラルボールトは、ボールトが置かれているのと同じ AWS アカウントと AWS リージョンで作成する必要があります。
注: すべての AWS のサービスが AWS Backup の独立した暗号化をサポートしているわけではありません。サポートされていないリソースについては、AWS Backup はソースリソースと同じ暗号化設定を維持します。バックアップコピーを作成すると、AWS Backup はバックアップを復号化し、セントラルボールトのカスタマーマネージドキーを使用してコピーを再暗号化します。カスタマーマネージドキーで暗号化されたバックアップを使用してクロスアカウントをコピーできます。
