Guide d'installation et de mise à niveau de NetBackup™ Snapshot Manager for Cloud

Basé sur une machine virtuelle

KMS (chiffrement et déchiffrement)

Pour répertorier les clés KMS au cours de différentes opérations.

kms:ListKeys

Fonction KMS fournie par NetBackup Snapshot Manager.

kms:Encrypt

kms:Decrypt

kms:GenerateDataKey

kms:GenerateDataKeyWithoutPlaintext

kms:CreateGrant

Requis en interne par AWS pour la réplication du snapshot chiffré.

kms:ReEncryptTo

kms:ReEncryptFrom

Pour obtenir les informations d'une clé KMS particulière.

kms:DescribeKey

Pour répertorier les alias de clés KMS au cours de différentes opérations.

kms:ListAliases

Protection des ressources RDS

Pour répertorier les snapshots de base de données RDS (découverte).

rds:DescribeDBSnapshots

Pour répertorier les clusters de base de données RDS (découverte).

rds:DescribeDBClusters

Pour répertorier les snapshots de cluster de base de données RDS (découverte).

rds:DescribeDBClusterSnapshots

Pour supprimer un snapshot de base de données RDS (expiration de snapshot).

rds:DeleteDBSnapshot

Pour créer un snapshot de base de données RDS.

rds:CreateDBSnapshot

Pour créer un snapshot de cluster de base de données RDS.

rds:CreateDBClusterSnapshot

Pour partager/ne plus partager un snapshot de base de données RDS avec un compte différent pour la réplication intercompte.

rds:ModifyDBSnapshotAttribute

Pour répertorier les groupes de sous-réseaux de bases de données RDS (découverte).

rds:DescribeDBSubnetGroups

Pour répertorier les instances de bases de données RDS (découverte).

rds:DescribeDBInstances

Pour copier le snapshot de base de données RDS entre les régions (utilisé pour la réplication).

rds:CopyDBSnapshot

Pour copier le snapshot de cluster de base de données RDS entre les régions (utilisé pour la réplication).

rds:CopyDBClusterSnapshot

Requis de manière implicite pendant les opérations de restauration/réplication de snapshot intercompte pour lire les attributs.

rds:DescribeDBSnapshotAttributes

Pour répertorier tous les proxys RDS.

rds:DescribeDBProxies

Pour répertorier les instances de base de données RDS pour un proxy particulier.

rds:DescribeDBProxyTargets

Pour supprimer un snapshot de cluster de base de données RDS (expiration de snapshot).

rds:DeleteDBClusterSnapshot

Pour répertorier les étiquettes des ressources RDS.

rds:ListTagsForResource

Pour ajouter des étiquettes pour les ressources RDS, pendant le snapshot, la réplication et la restauration.

rds:AddTagsToResource

Pour répertorier le terminal client de proxy pour le proxy RDS donné.

rds: DescribeDBProxyEndpoints

Pour accorder l'autorisation de récupérer et de déchiffrer des données chiffrées.

secretsmanager:GetSecretValue

Pour obtenir les détails des types d'instances offerts dans un emplacement. Elle est utilisée pour décider le parallélisme pendant les sauvegardes/restaurations des bases de données RDS.

ec2:DescribeInstanceTypes

Récupération des ressources RDS

Pour modifier les paramètres de l'instance de base de données RDS.

Pour modifier le groupe de sécurité pendant la restauration.

rds:ModifyDBInstance

Pour partager/ne plus partager un snapshot de cluster de base de données RDS avec un compte différent pour la réplication intercompte.

rds:ModifyDBClusterSnapshotAttribute

Pour créer l'instance de base de données RDS à partir d'un snapshot (restauration de snapshot).

rds:RestoreDBInstanceFromDBSnapshot

Pour modifier les paramètres du cluster de base de données RDS.

rds:ModifyDBCluster

Pour créer un cluster de base de données RDS à partir d'un snapshot (restauration de snapshot).

rds:RestoreDBClusterFromSnapshot

Pour créer une instance de base de données RDS lors de la restauration du cluster RDS.

rds:CreateDBInstance

Requis en interne par AWS pour restaurer le cluster de base de données RDS.

rds:RestoreDBClusterToPointInTime

Pour créer le groupe de sécurité de base de données RDS, restaurez RDS avec le groupe de sécurité par défaut.

rds:CreateDBSecurityGroup

Pour créer un cluster de base de données RDS.

rds:CreateDBCluster

Requis en interne par AWS pour restaurer l'instance de base de données RDS.

rds:RestoreDBInstanceToPointInTime

Pour obtenir les informations sur le groupe de paramètres pendant la restauration du snapshot de cluster RDS.

rds:DescribeDBClusterParameterGroups

Sauvegarde des ressources EC2

Pour obtenir les informations sur l'utilisateur/rôle utilisé pour effectuer des demandes d'API (via lesquelles CSP est configuré).

sts:GetCallerIdentity

Cela est requis pour le rôle de compte source, afin de définir la configuration des fournisseurs intercompte ainsi que d'autres conditions préalables pour le rôle intercompte.

sts:AssumeRole

Pour créer un snapshot de volume EBS.

ec2:CreateSnapshot

Pour créer un snapshot d'instance EC2 (snapshot de tous les disques attachés).

ec2:CreateSnapshots

Pour répertorier les instances EC2 (découverte).

ec2:DescribeInstances

Pour obtenir l'état de l'instance EC2 spécifiée.

ec2:DescribeInstanceStatus

Pour partager/ne plus partager les snapshots EBS avec un compte différent pour la réplication intercompte.

ec2:ModifySnapshotAttribute

Pour répliquer le snapshot EBS d'une région à une autre.

Pour répliquer le disque des snapshots d'instance EC2 par disque.

ec2:CopySnapshot

Pour répertorier les snapshots EBS (découverte).

ec2:DescribeSnapshots

Pour obtenir l'état du volume EBS spécifié.

ec2:DescribeVolumeStatus

Pour répertorier les volumes EBS (découverte).

ec2:DescribeVolumes

Une image AMI, utilisée pendant la restauration du snapshot d'instance EC2, est enregistrée de manière intermédiaire pour lancer l'instance EC2.

ec2:RegisterImage

Pour obtenir l'attribut spécifique du volume EBS spécifié pendant différentes opérations.

ec2:DescribeVolumeAttribute

Pour répertorier les sous-réseaux (découverte).

ec2:DescribeSubnets

Pour répertorier les VPC (découverte).

ec2:DescribeVpcs

Pour annuler l'enregistrement de l'image AMI intermédiaire enregistrée pendant la restauration de l'instance EC2.

ec2:DeregisterImage

Pour supprimer un snapshot EBS (expiration/nettoyage de snapshot en cas d'échec de la création du snapshot).

ec2:DeleteSnapshot

Pour obtenir l'attribut spécifique de l'instance EC2 spécifiée.

ec2:DescribeInstanceAttribute

Pour répertorier les régions.

ec2:DescribeRegions

Pour répertorier les zones de disponibilité (découverte).

ec2:DescribeAvailabilityZones

Pour réinitialiser les paramètres d'autorisation du snapshot spécifié modifié pendant la réplication intercompte.

Pour réinitialiser les paramètres d'autorisation du snapshot spécifié modifié pendant la réplication intercompte.

ec2:ResetSnapshotAttribute

Pour répertorier les hôtes dédiés (découverte).

ec2:DescribeHosts

Pour répertorier les AMI (snapshots d'instance EC2 créés par NetBackup Snapshot Manager) (découverte)

ec2:DescribeImages

Pour répertorier les groupes de sécurité (découverte).

ec2:DescribeSecurityGroups

Pour répertorier les interfaces réseau de l'instance EC2, requises pour la découverte des instances EC2.

ec2:DescribeNetworkInterfaces

Pour créer les étiquettes sur la ressource spécifique.

ec2:DescribeTags

Récupération des ressources EC2

Pour créer l'instance EC2 (restauration du snapshot hôte).

ec2:RunInstances

Utilisée en interne par AWS pour attacher l'interface réseau spécifiée à une instance donnée, requise pour la restauration pour le snapshot d'hôte.

ec2:AttachNetworkInterface

Pour dissocier des volumes EBS de l'instance EC2 pendant la restauration. En outre, pendant le workflow GRT, le volume intermédiaire qui est attaché pour la première fois est détaché ultérieurement.

ec2:DetachVolume

Pour attacher le ou les nouveaux volumes EBS à l'instance EC2 en cas de restauration. En outre, pendant la restauration du snapshot de volume sur une instance EC2, le disque créé est attaché à l'instance spécifiée.

ec2:AttachVolume

Pour supprimer des étiquettes sur des ressources EC2. Certaines étiquettes NetBackup Snapshot Manager internes sont créées au cours de différentes opérations et doivent être supprimées ultérieurement.

ec2:DeleteTags

Pour créer des étiquettes sur des ressources EC2. Requis pour étiqueter les ressources créées/restaurées avec des étiquettes de métadonnées et des étiquettes de ressource source NetBackup Snapshot Manager.

ec2:CreateTags

Pour mettre sous tension l'instance spécifiée. Requis pendant le flux de restauration où l'option de démarrage/arrêt de l'instance après la restauration est spécifiée.

ec2:StartInstances

Pour mettre hors tension l'instance spécifiée. Requis pendant le flux de restauration où l'option de démarrage/arrêt de l'instance après la restauration est spécifiée.

ec2:StopInstances

Pour supprimer l'instance EC2 en cas d'échec de l'opération de restauration. Vous devez également supprimer l'instance EC2 intermédiaire créée pendant la restauration de la copie de sauvegarde.

ec2:TerminateInstances

Pour créer un volume EBS à partir d'un snapshot. Utilisé pendant la restauration de snapshot de volume et la restauration de snapshot d'instance.

ec2:CreateVolume

Pour supprimer le volume EBS en cas d'échec de l'opération de restauration. Supprimez les volumes détachés en cas de restauration. Supprimez le volume intermédiaire créé pendant l'opération GRT. Supprimez les volumes ainsi que l'instance EC2 intermédiaire créée pendant la restauration de la copie de sauvegarde.

ec2:DeleteVolume

Pour obtenir l'état d'association de profil d'instance IAM pour le rôle IAM attaché à l'instance restaurée.

ec2:DescribeIamInstanceProfileAssociations

Pour attacher un rôle IAM à l'instance EC2 restaurée.

ec2:AssociateIamInstanceProfile

Pour associer une adresse IP élastique à l'instance EC2/l'interface réseau pendant la restauration.

ec2:AssociateAddress

Pour répertorier la paire de clés SSH pour valider la paire de clés fournie par l'utilisateur à associer à l'instance EC2 restaurée.

ec2:DescribeKeyPairs

Pour vérifier si la zone de disponibilité associée au sous-réseau sélectionné pour la restauration d'instance EC2 prend en charge le type d'instance.

ec2:DescribeInstanceTypeOfferings

Utilisé en interne par AWS pour vérifier si le chiffrement EBS par défaut est activé pour le compte dans la région actuelle.

ec2:GetEbsEncryptionByDefault

Pour modifier des mappages de périphérique de bloc selon l'instance d'origine sur l'instance EC2 restaurée.

ec2:ModifyInstanceAttribute

Sauvegarde à partir d'un snapshot

Pour répertorier les blocs du ou des snapshots sauvegardés.

ebs:ListSnapshotBlocks

Pour obtenir les données d'un bloc de snapshot particulier, lisez ce bloc.

ebs:GetSnapshotBlock

Pour répertorier les blocs modifiés entre deux snapshots du même volume EBS.

ebs:ListChangedBlocks

Restauration à partir d'une copie de sauvegarde

Pour marquer le snapshot comme terminé après l'écriture de tous les blocs, fermez le snapshot après la restauration.

ebs:CompleteSnapshot

Pour écrire les blocs dans le snapshot créé pendant la restauration à partir de la sauvegarde.

ebs:PutSnapshotBlock

Pour créer un snapshot vide à utiliser pour écrire des blocs dans le cadre de la restauration à partir de la copie de sauvegarde.

ebs:StartSnapshot

Gestion des identités et autorisation

Pour obtenir l'alias du compte AWS configuré dans CSP. Utilisé pour le nom affiché du compte AWS utilisable dans différents contextes, y compris les groupes intelligents.

iam:ListAccountAliases

Simule des politiques et des autorisations IAM pour un ensemble d'opérations. Utilisé pour vérifier si les autorisations requises sont présentes avec l'utilisateur/rôle utilisé pour la configuration de CSP.

iam:SimulatePrincipalPolicy

Protection des charges de travail PaaS (DynamoDB)

Pour répertorier les tables DynamoDB utilisées lors de la découverte.

dynamodb:ListTables

Pour obtenir les informations d'une table DynamoDB particulière pendant la sauvegarde.

dynamodb:DescribeTable

Pour créer une table pendant la restauration.

dynamodb:CreateTable

Pour effectuer une écriture par lot pendant la restauration de la table DynamoDB.

dynamodb:BatchWriteItem

Pour répertorier les sauvegardes continues de la table DynamoDB pendant la sauvegarde.

dynamodb:DescribeContinuousBackups

Pour effectuer une restauration spécifique de la table DynamoDB qui continue la sauvegarde sur S3 pendant la sauvegarde.

dynamodb:ExportTableToPointInTime

Pour vérifier l'état de l'exportation de la sauvegarde continue de la table DynamoDB sur S3.

dynamodb:DescribeExport

Pour supprimer une table en cas d'échec pendant la restauration.

dynamodb:DeleteTable

Pour mettre à jour les métadonnées de la table DynamoDB.

dynamodb:UpdateTable

Pour définir la sauvegarde continue pour la table, si elle n'est pas déjà définie.

dynamodb:UpdateContinuousBackups

Pour importer des tables à partir de S3

dynamodb:ImportTable

Pour décrire l'opération d'importation

dynamodb:DescribeImport

Restauration de journal CloudWatch avec S3 (DynamoDB)

Pour créer des groupes de journaux afin de restaurer des journaux pour l'importation DynamoDB à partir d'opérations S3.

logs:CreateLogGroup

Pour créer un flux de journaux afin de lire et écrire des journaux pour l'importation DynamoDB à partir d'opérations S3.

logs:CreateLogStream

Pour décrire des groupes de journaux pendant l'importation DynamoDB à partir d'opérations S3.

logs:DescribeLogGroups

Pour décrire des flux de journaux pendant l'importation DynamoDB à partir d'opérations S3.

logs:DescribeLogStreams

Pour écrire des événements de journaux pour l'importation DynamoDB à partir d'opérations S3.

logs:PutLogEvents

Pour définir la politique de conservation des journaux pour les journaux créés pendant l'importation DynamoDB à partir des opérations S3.

logs:PutRetentionPolicy

Protection des charges de travail PaaS (base de données Redshift)

Pour répertorier les bases de données d'un cluster Redshift. Permet de récupérer des informations sur les noms de base de données et leurs métadonnées. Cette autorisation s'applique au niveau du cluster.

redshift:ListDatabases

Pour vous connecter à la base de données de cluster Redshift à l'aide d'IAM.

redshift:GetClusterCredentialsWithIAM

Pour exécuter une requête dans une base de données de cluster Redshift.

redshift-data:ExecuteStatement

Pour répertorier les bases de données d'un cluster Redshift via l'API de données Redshift qui est un terminal client différent de celui de l'API Redshift. Cette autorisation est requise pour les instances de Redshift sans serveur.

redshift-data:ListDatabases

Pour récupérer le résultat temporairement mis en cache d'une instruction SQL exécutée sur des bases de données de cluster Redshift.

redshift-data:GetStatementResult

Pour obtenir les propriétés des clusters Redshift.

redshift:DescribeClusters

Pour annuler une requête exécutée sur la base de données de cluster Redshift utilisée pendant l'annulation d'un travail NetBackup.

redshift-data:CancelStatement

Pour vous connecter à la base de données de cluster Redshift.

redshift:GetClusterCredentials

Requis pour obtenir les détails sur une instance spécifique lorsqu'une requête est exécutée par l'API de données Amazon Redshift.

redshift-data:DescribeStatement

Protection des charges de travail PaaS (cluster Redshift)

Pour répertorier les bases de données d'un cluster Redshift. Permet de récupérer des informations sur les noms de base de données et leurs métadonnées. Cette autorisation s'applique au niveau du cluster.

redshift:ListDatabases

Pour obtenir les propriétés des clusters Redshift.

redshift:DescribeClusters

Pour créer des étiquettes sur le cluster Redshift.

redshift:CreateTags

Pour créer un snapshot manuel du cluster spécifié.

redshift:CreateClusterSnapshot

Pour obtenir les propriétés des snapshots de cluster.

redshift:DescribeClusterSnapshots

Pour supprimer un snapshot de cluster.

redshift:DeleteClusterSnapshot

Pour obtenir des groupes de sous-réseau de cluster.

redshift:DescribeClusterSubnetGroups

Pour restaurer à partir d'un snapshot de cluster.

redshift:RestoreFromClusterSnapshot

Pour accéder à la passerelle Internet.

ec2:DescribeInternetGateways

Pour répertorier les assignations d'interface et les adresses IP privées

ec2:DescribeAddresses

Pour répertorier les zones de disponibilité.

ec2:DescribeAvailabilityZones

Pour répertorier les VPC.

ec2:DescribeVpcs

Pour obtenir la liste d'attributs de compte.

ec2:DescribeAccountAttributes

Pour répertorier les sous-réseaux.

ec2:DescribeSubnets

Pour répertorier les groupes de sécurité.

ec2:DescribeSecurityGroups

Pour accéder aux rôles IAM.

iam:GetRole

Protection des charges de travail PaaS (Neptune)

Pour répertorier les snapshots AWS Neptune - découverte

neptune:DescribeDBSnapshots

Pour répertorier les clusters AWS Neptune - découverte

neptune:DescribeDBClusters

Pour supprimer un snapshot AWS Neptune

neptune:DeleteDBSnapshot

Pour répertorier les clusters AWS Neptune

neptune:DescribeDBClusters

Pour créer un snapshot de base de données Neptune

neptune:CreateDBSnapshot

Pour créer un cluster de base de données Neptune

neptune:CreateDBCluster

Pour répertorier les groupes de sous-réseau de base de données Neptune

neptune:DescribeDBSubnetGroups

Pour créer un snapshot de cluster de base de données Neptune

neptune:DeleteDBSnapshot

Pour répertorier les snapshots de cluster AWS Neptune

neptune:DescribeDBSnapshots

Protection des charges de travail PaaS (DocumentDB)

Pour répertorier les snapshots AWS DocumentDB - découverte

rds:DescribeDBSnapshots

Pour répertorier les clusters AWS DocumentDB - découverte

rds:DescribeDBClusters

Pour supprimer un snapshot AWS DocumentDB

rds:DeleteDBSnapshot

Pour répertorier les clusters AWS DocumentDB

rds:DescribeDBClusters

Pour créer un snapshot de base de données DocumentDB

rds:CreateDBSnapshot

Pour créer un cluster de base de données DocumentDB

rds:CreateDBCluster

Pour répertorier les groupes de sous-réseau de base de données DocumentDB

rds:DescribeDBSubnetGroups

Pour créer un snapshot de cluster de base de données DocumentDB

rds:DeleteDBSnapshot

Pour répertorier les snapshots de cluster Amazon DocumentDB

rds:DescribeDBClusterSnapshots

Protection des charges de travail PaaS (S3)

Pour créer un compartiment S3 requis pendant les sauvegardes/restaurations DynamoDB, Custom for SQL, Custom for Oracle et Redshift.

s3:CreateBucket

Pour vérifier si un compartiment existe déjà pour les sauvegardes/restaurations DynamoDB, Custom for SQL, Custom for Oracle et Redshift.

s3:ListBucket

Pour récupérer les listes de contrôle d'accès d'un objet S3 (fichier) stocké dans un compartiment pendant les sauvegardes DynamoDB, Custom for SQL, Custom for Oracle et Redshift.

s3:GetObjectAcl

Pour récupérer le contenu d'un objet S3 (fichier) stocké dans un compartiment pendant les sauvegardes DynamoDB, Custom for SQL, Custom for Oracle et Redshift.

s3:GetObject

Pour supprimer un objet d'un compartiment S3 requis pendant les sauvegardes/restaurations DynamoDB et Redshift.

s3:DeleteObject

Pour charger des données sur un compartiment S3 requis pendant les restaurations DynamoDB et Redshift.

s3:PutObject

Restaurer le verrouillage d'objet S3

Pour placer une configuration de conservation d'objet sur des objets.

s3:PutObjectRetention

Pour modifier la politique de compartiment d'un compartiment Amazon S3 pendant les sauvegardes Custom for Oracle et Custom for SQL.

s3:PutBucketPolicy

Pour configurer ou modifier la configuration de conservation d'objet d'un compartiment Amazon S3 pendant les sauvegardes Custom for Oracle et Custom for SQL.

s3:PutBucketObjectLockConfiguration

Pour activer ou modifier les versions d'un compartiment Amazon S3 pendant les sauvegardes Custom for Oracle et Custom for SQL.

s3:PutBucketVersioning

Pour récupérer les étiquettes associées à un objet dans un compartiment Amazon S3 pendant les sauvegardes Custom for Oracle et Custom for SQL.

s3:GetObjectTagging

Snapshots cohérents gérés par le fournisseur

Pour envoyer la commande à l'instance configurée avec SSM, le document SSM sera exécuté pour prendre un snapshot.

ssm:SendCommand

Pour obtenir les détails du document SSM et vérifier l'existence du document créé par NetBackup Snapshot Manager pour prendre un snapshot cohérent au niveau application.

ssm:DescribeDocument

Pour obtenir la liste des instances configurées avec SSM qui sont en ligne. Ces informations sont également utilisées pour récupérer la plate-forme de l'instance.

ssm:DescribeInstanceInformation

Pour mettre à jour la version par défaut du document SSM créé par NetBackup Snapshot Manager.

ssm:UpdateDocumentDefaultVersion

Pour mettre à jour le contenu du document SSM avec le dernier disponible en cas de mise à niveau.

ssm:UpdateDocument

Pour créer le document SSM qui sera utilisé pour prendre un snapshot cohérent au niveau application.

ssm:CreateDocument

Pour obtenir l'état et la sortie de la commande, c'est-à-dire l'exécution de document, et la réponse de snapshot.

ssm:GetCommandInvocation

Snapshots cohérents gérés par le fournisseur

Rôle/politique : AmazonSSMManagedInstanceCore

Autorisations sur la machine virtuelle de charge de travail

Pour créer un snapshot cohérent de la machine virtuelle de charge de travail sur laquelle le document SSM s'exécute.

ec2:CreateSnapshots

Pour créer des étiquettes pour les snapshots créés à l'aide du document SSM.

ec2:CreateTags

Pour créer un snapshot du disque de machine virtuelle par disque.

ec2:CreateSnapshot

Cluster basé sur Kubernetes

Rôle/politique : AmazonEKSClusterPolicy, AmazonEKSWorkerNodePolicy, AmazonEC2ContainerRegistryPowerUser, AmazonEKS_CNI_Policy, AmazonEKSServicePolicy

EKS

Pour obtenir les détails du groupe de nœuds du cluster Kubernetes concernant la configuration de la mise à l'échelle.

eks:DescribeNodegroup

Pour obtenir l'état de la mise à l'échelle effectuée sur le cluster.

eks:DescribeUpdate

Pour mettre à l'échelle le cluster Kubernetes, mettez à jour la taille du groupe de nœuds.

eks:UpdateNodegroupConfig

Pour répertorier les clusters Kubernetes, effectuez une découverte de cluster.

eks:ListClusters

Pour obtenir les informations du cluster Kubernetes spécifié, effectuez une découverte des attributs de cluster.

eks:DescribeCluster

Déploiement Marketplace

Haute disponibilité

Requis pour EKS et pour le déploiement Marketplace.

autoscaling:UpdateAutoScalingGroup

autoscaling:AttachInstances

Pour la reprise après incident via Marketplace.

autoscaling:DescribeScalingActivities

autoscaling:TerminateInstanceI​nAutoScalingGroup

Pour envoyer des notifications pendant la reprise après incident.

sns:Publish

sns:GetTopicAttributes

Déploiement

Pour ajouter les règles sortantes spécifiées (sortie) à un groupe de sécurité pendant la restauration.

ec2:AuthorizeSecurityGroupEgress

Pour ajouter les règles entrantes spécifiées (entrée) à un groupe de sécurité pendant la restauration.

ec2:AuthorizeSecurityGroupIngress