von Raphael Eymann
Cloud Engineer

Air-Gapped Backup Vault: Massgeschneiderte Lösung

Im Jahr 2023 begaben wir uns auf die Suche nach einer robusten Backup-Lösung, die unsere Daten auch dann schützen könnte, wenn ein AWS-Konto einem katastrophalen Ausfall ausgesetzt wäre. Du frägst dich vielleicht, warum wir nicht einfach die AWS Backup Funktionen gewählt haben. Die Antwort ist, dass die Funktion des „ Logically air-gapped vault “ zu diesem Zeitpunkt nicht verfügbar war. In diesem Blogbeitrag gehen wir auf das technische Setup unserer massgeschneiderten Lösung ein und untersuchen ihre Vor- und Nachteile im Vergleich zur Lösung von AWS.

Technische Setup-Übersicht

In unserer Lösung haben wir regionsübergreifende Backups implementiert, eine optionale Funktion, welche zusätzliche Widerstandsfähigkeit bietet. Und zwar indem sie die Datenwiederherstellung selbst dann ermöglicht, wenn eine gesamte AWS-Region ausfällt. Wir konfigurierten zwei AWS-Konten, die als Bunker und Workload bezeichnet werden, beide Teil derselben AWS-Organisation. Innerhalb des Bunker-Kontos haben wir einen KMS-Schlüssel erstellt, der mit dem Workload-Konto geteilt wird. Dieser Customer Managed Key (CMK) verschlüsselt die Backup-Tresore in beiden AWS-Konten und sorgt dafür, dass vollständig verwaltete Ressourcentypen wie S3 und DynamoDB diesen standardmässig für Backups verwenden. Für nicht vollständig verwaltete Ressourcentypen wie EC2 oder RDS muss der geteilte KMS-Schlüssel während der Ressourcenerstellung hinterlegt werden. Darüber hinaus nutzt der Backup-Tresor die Tresorsperre, um das Löschen relevanter Backups zu verhindern.

Vorteile der massgeschneiderten Lösung

Unterstützung für Native Amazon Relational Database Service (RDS)
Die von AWS bereitgestellte Lösung unterstützt RDS nicht. Diese Einschränkung war ein wesentlicher Grund dafür, dass wir nicht zur „Logically air-gapped vault“ gewechselt sind, selbst nach dessen Veröffentlichung im Jahr 2024. Um regions- und kontenübergreifende Backups für RDS auch in unserer massgeschneiderten Lösung zu erreichen, ist dieser zusätzliche Schritt erforderlich:
https://aws.amazon.com/blogs/database/automate-cross-account-backups-of-amazon-rds-and-amazon-aurora-databases-with-aws-backup/
Anpassbare Einstellungen
Die AWS-Lösung verwendet die Tresorsperre im Compliance-Modus und die Verschlüsselung über einen von AWS verwalteten Schlüssel. Wenn deine Organisation den Governance-Modus bevorzugt oder einen Customer Managed Key (CMK) benötigt, ist die Implementierung einer massgeschneiderten Backup-Lösung erforderlich.
Unabhängigkeit von der AWS Organisation
In bestimmten Szenarien möchtest du möglicherweise, dass das Bunker-Konto ausserhalb der AWS-Organisationsstruktur liegt. Ursprünglich erforderte die AWS-Lösung, dass beide Konten innerhalb derselben Organisation sind, unterstützt nun aber auch separate Organisationen. Wenn das Bunker-Konto jedoch nicht Teil einer AWS-Organisation ist, tritt beim Backup ein Fehler auf.

Nachteile der massgeschneiderten Lösung

Komplexität des Setups
Die AWS-Lösung ist einfach einzurichten, und wenn deine Anforderungen nicht mit den Vorteilen der massgeschneiderten Lösung übereinstimmen, wird die AWS-Lösung empfohlen.
Fehlende AWS Resource Access Manager (RAM) Freigabe
Ein wesentlicher Nachteil der massgeschneiderten Lösung im Vergleich zum AWS-Angebot ist das Fehlen der RAM-Freigabe. Wiederherstellungspunkte müssen vom Bunker-Konto in das Workload-Konto kopiert werden, bevor die Wiederherstellung erfolgt, was zeitaufwendig sein kann, insbesondere bei grossen Wiederherstellungspunkten, die mehr als 1 TB umfassen. Die AWS-Lösung ermöglicht eine direkte Wiederherstellung, indem Wiederherstellungspunkte innerhalb des Backup-Kontos über RAM geteilt werden.

Zusammenfassend lässt sich sagen, dass unsere massgeschneiderte Lösung zwar einzigartige Vorteile für spezifische Bedürfnisse bietet, aber auch gewisse Herausforderungen mit sich bringt. Die Bewertung deiner Unternehmensanforderungen wird dir dabei helfen, zwischen der massgeschneiderten Lösung und der AWS “Logically air-gapped vault” zu wählen.