¿Por qué no puedo eliminar mis puntos de recuperación de AWS Backup?

Solución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de problemas de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Para eliminar los puntos de recuperación de AWS Backup, debes tener los permisos necesarios para tu rol de AWS Identity and Access Management (IAM). Confirma que también tienes políticas de acceso al almacén y políticas de control de servicio (SCP) sin restricciones. Además, comprueba que tus puntos de recuperación no estén retenidos legalmente y no estén guardados en un almacén de copias de seguridad cerrado.

Para resolver los errores "Access denied", realiza las siguientes acciones.

Comprobar que el rol de IAM tenga los permisos necesarios

Confirma que tienes el permiso DeleteRecoveryPoint asociado a tu rol de IAM.

Ejemplo de política de IAM:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "backup:DeleteRecoveryPoint",
        "backup:DescribeRecoveryPoint",
        "backup:ListRecoveryPoints"
      ],
      "Resource": "*"
    }
  ]
}

Eliminación de las restricciones de la política de acceso

Si tu almacén de copias de seguridad tiene una política de acceso basada en recursos que deniega la acción backup:DeleteRecoveryPoint, debes eliminar esta restricción.

Ejemplo de una política restrictiva que impide la eliminación:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyDeleteRecoveryPoint",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "backup:DeleteRecoveryPoint",
      "Resource": "*"
    }
  ]
}

Para eliminar la restricción de la política de acceso y permitir la eliminación de puntos de recuperación, ejecuta el siguiente comando delete-backup-vault-access-policy de la AWS CLI:

aws backup delete-backup-vault-access-policy --backup-vault-name your-vault-name

Nota: Sustituye your-vault-name por el nombre de tu almacén de copias de seguridad.

Como alternativa, puedes actualizar la política para permitir explícitamente la acción backup:DeleteRecoveryPoint:

Ejemplo de política que permite la eliminación de puntos de recuperación:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowDeleteRecoveryPoint",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::account-id:root"
      },
      "Action": [
        "backup:DeleteRecoveryPoint",
        "backup:DescribeRecoveryPoint"
      ],
      "Resource": "*"
    }
  ]
}

Eliminación de las restricciones de SCP

Si tu política de control de servicio (SCP) deniega la acción backup:DeleteRecoveryPoint, debes actualizar la SCP para permitir esta acción.

Ejemplo de SCP que evita la eliminación del punto de recuperación:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PreventBackupRecoveryPointDeletion",
      "Effect": "Deny",
      "Action": [
        "backup:DeleteRecoveryPoint"
      ],
      "Resource": "*"
    }
  ]
}

Para resolver este problema, actualiza tu SCP para eliminar la acción backup:DeleteRecoveryPoint de la instrucción de denegación. O bien, agrega una instrucción de permiso explícita para las entidades principales requeridas.

Eliminación de los puntos de recuperación sujetos a retención legal o en un almacén de copias de seguridad bloqueado

Si tus puntos de recuperación están retenidos legalmente o están guardados en un almacén de copias de seguridad bloqueado, aborda estas restricciones antes de eliminarlos. Para obtener instrucciones, consulta ¿Cómo elimino los puntos de recuperación que se encuentran en retención legal o guardados en un almacén de copias de seguridad bloqueado de AWS Backup?

Información relacionada

Eliminación de copias de seguridad

Bloqueo de almacenes de AWS Backup