为提升数据备份的安全管理水平，防止来自企业内部的意外操作或者恶意攻击，或者被未授权用户备份和恢复数据，满足安全合规要求。混合云备份HBR提供KMS加密、备份锁定、备份恢复权限分离功能。本文介绍开启安全增强备份特性的操作方法。

背景信息

混合云备份HBR提供以下功能开启安全增强备份特性。

  • KMS加密
    KMS加密机制允许您自己管理加密密钥。借助阿里云KMS服务，对备份数据源端进行KMS加密后存储入备份库。
    注意
    • 使用KMS加密后，无法再修改KMS加密密钥。
    • 如果KMS密钥被禁用或者删除，备份库内的备份数据将无法恢复。
    • 请您提前规划用于源端加密的KMS密钥ID。更多信息，请参见创建密钥。
  • 备份锁定
    开启该功能，所有备份库只能一次写入、多次读取，即WORM (write-once, read-many)。为您的备份库添加额外的保护。
    注意
    • 开启备份锁定后，该功能无法关闭。
    • 开启备份锁定后，备份库和备份数据在自动到期之前，无法删除。
    • 正常的备份和恢复操作不受影响。
  • 备份和恢复权限分离

    给指定RAM用户添加RAM权限，使得该RAM用户对此备份库只能进行备份或者恢复操作，避免未经授权的误操作。

开启KMS加密

  1. 准备KMS密钥。
    您需要提前规划用于备份库加密的KMS密钥ID。更多信息，请参见创建密钥。
  2. 在创建备份计划页面，将源端加密方式参数配置为KMS，并指定KMS密钥ID参数，完成计划创建。即可开启KMS加密功能。
    创建完成后，在存储库管理界面，目标备份库的备份类型列，会出现KMS加密。

开启备份锁定

  1. 登录混合云备份管理控制台。
  2. 在左侧导航栏，选择灾备存储 > 存储库管理。
  3. 找到目标备份库。在其右侧的操作栏，选择更多 > 备份库设置。
  4. 在备份库设置面板，打开备份锁定开关。
  5. 在对话框中，单击确认。
  6. 在备份库设置面板，单击确认。
    操作完成后，目标备份库的备份锁定列显示为是。

分离备份和恢复权限

  1. 获取禁止备份和恢复的权限策略。
    1. 登录混合云备份管理控制台。
    2. 在左侧导航栏，选择灾备存储 > 存储库管理。
    3. 找到目标备份库。在其右侧的操作栏，选择更多 > 备份库设置。
    4. 在备份库设置面板的权限设置区域，选择禁止备份和恢复的权限策略。
      • 禁止恢复的权限策略
        单击脚本左上角复制按钮，快速复制脚本。例如：
        {
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "hbr:CreateRestore",
                "hbr:CreateRestoreJob",
                "hbr:CreateHanaRestore",
                "hbr:CreateUniRestorePlan",
                "hbr:CreateSqlServerRestore"
            ],
            "Resource": [
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu",
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu/client/*"
            ]
        }
    ]
}
        说明 v-0000ryfi******piu为目标备份库ID。
      • 禁止备份的权限策略
        单击脚本左上角复制按钮，快速复制脚本。例如：
        {
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "hbr:CreateUniBackupPlan",
                "hbr:UpdateUniBackupPlan",
                "hbr:DeleteUniBackupPlan",
                "hbr:CreateHanaInstance",
                "hbr:UpdateHanaInstance",
                "hbr:DeleteHanaInstance",
                "hbr:CreateHanaBackupPlan",
                "hbr:UpdateHanaBackupPlan",
                "hbr:DeleteHanaBackupPlan",
                "hbr:CreateClient",
                "hbr:CreateClients",
                "hbr:UpdateClient",
                "hbr:UpdateClientSettings",
                "hbr:UpdateClientAlertConfig",
                "hbr:DeleteClient",
                "hbr:DeleteClients",
                "hbr:CreateJob",
                "hbr:UpdateJob",
                "hbr:CreateBackupPlan",
                "hbr:UpdateBackupPlan",
                "hbr:ExecuteBackupPlan",
                "hbr:DeleteBackupPlan",
                "hbr:CreateBackupJob",
                "hbr:CreatePlan",
                "hbr:UpdatePlan",
                "hbr:CreateTrialBackupPlan",
                "hbr:ConvertToPostPaidInstance",
                "hbr:KeepAfterTrialExpiration"
            ],
            "Resource": [
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu",
                "acs:hbr:*:1178037424989531:vault/v-0000ryfi******piu/client/*"
            ]
        }
    ]
}
        说明 v-0000ryfi******piu为目标备份库ID。
  2. 登录RAM控制台，创建自定义权限策略。
    更多信息，请参见创建自定义策略。
  3. 选择权限分离的RAM用户，分别授予您在步骤2中创建的禁止备份或者禁止恢复权限。